PHPのPDOでprepare（予約文）が実行できない

Question

前提・実現したいこと

現在phpでMySQLのPDOのクラスを作っており、その中でauto_incrementの振り直しをする関数を作成したいと思っています。
振り直しのやり方についてネットで調べたら以下のようなプログラムを見つけました。

set@i :=0;
update テーブル名 set カラム名 = (@i := @i + 1);
alter table テーブル名 auto_increment = 1;

これを実装しようとしています。
その際2行目でエラーが発生しました。

発生している問題・エラーメッセージ

このクラスから作成したインスタンスで関数を実行させるようにしたらブラウザが真っ白になっていました。
php ファイル名.phpを実行して確認すると以下のエラーが出ました。

SQLSTATE[42000]: Syntax error or access violation: 1064 You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near ''テーブル名' set カラム名 = (@i := @i + 1)' at line 1

どうやらテーブル名の前後にクォーテーションが入ってしまっていてエラーが出ているように見えます
多分変数に入っているものがそのまま入ったからクォーテーションも入ってしまったのだと思います。
ここでどのようにしたらクォーテーションを抜いた分だけ入るのかわかりませんでした。

該当のソースコード

class pdoclass{
  public $host = 'localhost';
  public $username = 'ユーザー名';
  public $passwd = 'パスワード';
  public $dbname = 'データベース名';
  public $tablename = 'テーブル名';
  function pdo(){
    $dsn = 'mysql:dbname='.$this->dbname.';host='.$this->host.';charset=utf8mb4';
    try{
      $pdo = new PDO($dsn, $this->username, $this->passwd, [
                PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
                PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC,
              ]
            );
    }catch(PDOException $e){
      exit('データベース接続失敗'.$e->getMessage());
    }
  return $pdo;
  }
  function increment(){
    $pdo = $this->pdo();
    try{
      $stmt = $pdo->query('SET @i := 0 ');
      $stmt = $pdo->prepare('update ? set カラム名 = (@i := @i + 1)');
      $stmt->bindValue(1,$this->tablename, PDO::PARAM_STR);
      $stmt->execute();
      $stmt = $pdo->prepare('alter table ?  auto_increment = 1');
      $stmt->bindValue(1,$this->tablename, PDO::PARAM_STR);
      $stmt->execute();
    }catch(PDOException $e){
      exit('失敗しました'.$e->getMessage());
    }
  }
}

試したこと

以下のように変数を使わず直接クエリを実行するようにしたらエラーは起きませんでした。

$stmt = $pdo->query('update テーブル名 set カラム名 = (@i := @i +1)');

また2行目でエラーが起きてしまっているので同じようになると思い3行目のexecuteはコメントアウトしている状態です。

補足情報（FW/ツールのバージョンなど）

phpのバージョン
PHP 7.2.13-1+ubuntu16.04.1+deb.sury.org+1 (cli) (built: Dec 7 2018 08:07:08) ( NTS )
Copyright (c) 1997-2018 The PHP Group
Zend Engine v3.2.0, Copyright (c) 1998-2018 Zend Technologies
with Zend OPcache v7.2.13-1+ubuntu16.04.1+deb.sury.org+1, Copyright (c) 1999-2018, by Zend Technologies
with Xdebug v2.6.1, Copyright (c) 2002-2018, by Derick Rethans

MySQLのバージョン
mysql Ver 14.14 Distrib 5.7.24, for Linux (x86_64) using EditLine wrapper

参考にしたサイト
https://www.surf-life.blue/226
https://qiita.com/mpyw/items/b00b72c5c95aac573b71

Answer 1

update ?

prepareが投入できるのはあくまでデータだけです
テーブル名を置き換えるのには使えません

テーブル名を外から持ってきていておらずセキュアなら

$stmt = $pdo->query('update `'.$this->tablename.'` set カラム名 = (@i := @i + 1)');

で、よいでしょう

Comments

[cometbeet]

ありがとうございます。無事エラーが出なくなりました。
ちなみになんですが予約文を使ってbindValueに文字列が入った変数を入れることはあるのでしょうか。
今回の解決法を見ていると変数があるなら直接結合させたほうがよいように見えたので。

[yambejp]

> 変数があるなら直接結合させたほうがよい

そんなことはありません。
外部から来るデータは常に攻撃性をもった汚染されたものだと認識し
データに関してはすべてprepareで処理するのが正しい処理です

[cometbeet]

あ、確かにテーブル名とユーザーが入力するデータでは扱いが別になりますね。
すみませんでした。
回答ありがとうございます。

Answer 2

tablename内容は文字として扱うと当然文法エラーです。
prepareではなく、tablenameの内容を文字列としてSQL文組み立てれば良いかと。