$wpdb->prepare() でアポストロフィーを除外する方法

Question

###実現したいこと
$wpdb->prepare()を使って独自テーブルを更新したいのですが、アポストロフィーが勝手に入ってしまいエラーとなります。
勝手に入らないようにしたいのですが、どのようにすべきでしょうか？

###発生している問題・エラーメッセージ

You have an error in your SQL syntax;
check the manual that corresponds to your MariaDB server version for the right syntax to use near
 ''vote_count' = 'vote_count' + 1 WHERE ID = 111' at line 2

###該当のソースコード

$target_id = 111;    // 実際は動的に変化します
$col = 'vote_count'; // 実際は動的に変化します
$query = "UPDATE wp_test SET %s = %s + 1 WHERE ID = %d;";
$prepares = [$col,$col,$target_id];
$rows = $wpdb->get_results($wpdb->prepare($query, ...$prepares ));

試したこと

上記エラーで実行されるSQLを$wpdb->last_errorで確認すると以下でした。

UPDATE wp_test
SET 'vote_count' = 'vote_count' + 1
WHERE ID = 111;

そこでエラーを参考に、下記SQLをphpMyAdminから実行すると更新できました。
そのためアポストロフィーが余計だというエラーメッセージを解消すればいいと考えています。

UPDATE wp_test
SET vote_count = vote_count + 1
WHERE ID = 111;

しかし公式リファレンスを見ると$wpdb->prepare()で文字列の置換は%sしかないようで、これは勝手にアポストロフィーがつくことを回避できないように見受けられます。

またこちらのQAサイトによれば、「表名と列名にprepareが使えない」とのことですが、これは事実でしょうか？

もしこれが事実でなく、アポストロフィーを除外する方法があれば知りたいのですが…

別の方向からの解決策でも構いませんので、どなたかアドバイス頂けましたら幸いです。

Answer 1

それがwpdbのprepareです、値を確実に数値・文字列として扱い
SQL句として評価されることがないようにして
SQLインジェクションを防ぐのがwpdbのprepareです

テーブル名やカラム名が動的に変化するというのでは
プレースホルダーに落とし込むことができません

テーブル名やカラム名を動的にしつつセキュアにしようとするならば
当該部分には有効なテーブル名やカラム名のみ受け付けるようにするなどして
SQL文を生成する処理を別途書く必要があります

Comments

[hana_hana]

なるほど。どうもありがとうございます。