$_SESSION を MYSQL(XAMPP)のprepareにbindParamする方法

Question

前提・実現したいこと

$_SESSION の変数をPHP/MYSQLのprepareに入力するとエラーになります。
原因を教えてくれませんでしょうか。
なお、$_SESSION['fy']には、

<?php var_dump($_SESSION['fy']); ?>

string(6) "fy2020"

となっており値は入っています。

発生している問題・エラーメッセージ

<b>Fatal error</b>: Uncaught PDOException: SQLSTATE[42000]: Syntax error or access violation: 1064 You have an error in your SQL syntax; check the manual that corresponds to your MariaDB server version for the right syntax to use near '? WHERE sp_no = ?' at line 1 in C:\xampp\htdocs\personal\order\php\dbsearch.php:16
Stack trace:
#0 C:\xampp\htdocs\personal\order\php\dbsearch.php(16): PDO->prepare('SELECT business...')
#1 {main}
thrown in <b>C:\xampp\htdocs\personal\order\php\dbsearch.php</b> on line <b>16</b><br />

該当のソースコード

$stmt = $db->prepare('SELECT business_no, customer_name, order_name FROM ? WHERE sp_no = ?');
$stmt->bindParam(1, $_SESSION['fy'], PDO::PARAM_STR);
$stmt->bindParam(2, $_POST["sp_no"], PDO::PARAM_STR);   //OK
$stmt->execute();

試したこと

以下の記載は問題ありません。

$stmt = $db->prepare('SELECT business_no, customer_name, order_name FROM fy2020 WHERE sp_no = ?');
$stmt->bindParam(1, $_POST["sp_no"], PDO::PARAM_STR);   //OK
$stmt->execute();

補足情報（FW/ツールのバージョンなど）

Comments

[m.ts10806]

コードはマークダウンのcode機能を利用してご提示ください。

Answer 1

PDO の話というわけでもないのですが、分かりやすいので PDO のページをリンク/引用します。

PDO::prepare

注意:

パラメータマーカーが表せるのは、データリテラルだけです。 リテラルの一部やキーワード、識別子、その他のクエリのパーツをパラメータにバインドすることはできません。

Comments

[daisukeasobu]

いろいろググって勉強してみましたが、
$_SESSIONの変数はデータリテラルではないということで理解しました。
（私のサイトでは、ログイン情報から$_SESSIONに入れているので変わらない情報ですが。。。）

[退会済みユーザー]

用語定義レベルで理解が足りていないので、まずは本などで体系的な知識を身に付けた方が良いですよ。

今回の該当箇所のみでいうと、以下が使用に耐えるレベルでは身についていません
・SQL に関して
リテラルと識別子の区別がついていない
・php に関して
PDO::prepare() / PDO::bindParam() が何をするものか分かっていない

他にも、以下についてはちゃんと学習した方が良いと思います。
・web セキュリティに対しての体系的知識
・データベース設計に対しての体系的知識

[daisukeasobu]

コメントありがとうございます。
プログラムを勉強して３か月目です。まだまだ勉強していきたいと思います。

Answer 2

まず、テーブル名はprepare処理で渡せません
またbindParamは後出しの処理を前提としているので、普通はbindValueを利用します

Comments

[daisukeasobu]

テーブル名がprepare処理で渡せませんということで、理解しました。
いろいろ試した結果、

$stmt = $db->prepare('INSERT INTO "' . $_SESSION['fy'] . '"　　・・・

と記載した場合も、同じテーブルをprepareで渡していると思いますが、こちらは動作します。
お時間ある時に違いがわかるようでしたら、教えてください。