MySQL プリペアドステートメントのプレースホルダについて

Question

厄介なSQLなのですが、知識のある先輩方に助けていただきたいです。

MySQLのプリペアドステートメントを使い、データベースとやりとりをしています。

INSERTをする時に、カラム名が定まっておらず、PHPの変数からSQL文を作っている状況です。
設計が悪いことは判っているのですが、直せる余裕がありません。

現在つまずいているのは、下記のSQLがシンタックスエラーになってしまうことです。

prepare("INSERT INTO salt26_timetable(ymd,category,category_id,?) VALUES(?,booked,?,?) ON DUPLICATE KEY UPDATE ? = ?"); 

プレースホルダが色々な所に散らばっていますが、このような書き方は不可能なのでしょうか？

ご教示、よろしくお願いいたします。

Answer 1

カラム名にはプレースホルダは使えません。

INSERT INTO salt26_timetable(ymd,category,category_id,?) ここの?は不可。変数を連結する以外に方法はありません。

あとここも DUPLICATE KEY UPDATE ?

Comments

[salt26]

早々のご回答をありがとうございます。
勉強になりました。

SQLイジェクションが起こらぬよう、変数のチェックを厳格に行い、変数を連結する方法を採りたいと思います。

本当にありがとうございました。

Answer 2

PHP側のプレースホルダではカラムを指定することはできません。
しかしMySQLでプリペアドステートメントを設定するなら不可能ではないでしょう

追記

たとえば

create table tbl(id int primary key,val varchar(10));
insert into tbl values(1,'aaa'),(2,'bbb'),(3,'ccc');

だったとして
SQL側でストアド・プロシージャをつくります

drop procedure if exists my_proc;
delimiter //
create procedure my_proc(in v1 varchar(100),in v2 varchar(100))
begin
set @sql=concat("select ",v1," from ",v2);
prepare stmt from @sql;
execute stmt;
end
//
delimiter ;

これに対してプロシージャを呼び出してやります

call my_proc('id','tbl');

これはすなわち「select id from tbl」を実行していることになります。

結局、ユーザーが好きなカラムやテーブルを指定できることになるので
セキュリティー的には最悪な状態ですが、実行できるのはできます

Comments

[salt26]

ご回答いただき、ありがとうございます。

私の知識が追い付かず、恐縮ながらアドバイスを理解できないのですが。。

どのようにすればよろしいのでしょうか？

[yambejp]

ストアドプロシージャのサンプルつけておきました

[yambejp]

だぶった

[salt26]

ご丁寧にありがとうございます！

早速試してみますね！
本当にありがとうございます！