PDO、繰り返ししたい

Question

for ($i = 2; $i <= $values['num']; $i++) {
      $stmt = $this->db->prepare("alter table progs_:groupid add state_"$i" tinyint(1) default 0 after state_"$i-1";");
      $stmt->execute([
        ':groupid' => $values['groupid'],
      ]);
 }

の部分が、

Parse error: syntax error, unexpected '$i' (T_VARIABLE)

というふうにエラーになってしまうのですが、
何が悪いのでしょうか。
そもそもprepare()の中はいじれないということでしょうか？

追記(11/24)
やろうとしてるのは、ユーザーから受け取った'num'の数だけstate_○フィールドのあるテーブルを作ることです。
create tableの時点で任意の数のフィールドを作るのが難しかったので、後からalter addしようとしました。
重大なセキュリティホールができてしまうとはどういうことでしょうか（参考になるサイト等紹介してくれると嬉しいです）。
スクリプトは外部から参照できない場所に置いてあります。

本当にやろうとしてるのは、ユーザーのdo,undoをデータベースで管理することで、ユーザー登録の時にチェックボックスの数を任意に決められるようにしたいです。
こういう場合、どういった構造にすべきでしょうか？
質問内容が変わってしまいますが、アドバイスいただけたら嬉しいです。

Comments

[退会済みユーザー]

kvs方式のテーブルでいいような。

Answer 1

数字を渡すだけならsprintfで%sで渡してください
ただしユーザーからのデータをもとにテーブル構造を変えることは
相当な注意をしておかないと重大なセキュリティホールになりかねません

Answer 2

プレースホルダで表名の一部を書き換えることはできませんので、$iと同じようにするしかないと思います。
SQLインジェクションの懸念がありますが、想像するに、これはメンテナンス時に一度だけ使うのですよね。であれば、外部から参照できない場所にスクリプトを置いて下さい（既にそうなっているとは思いますが）。

Answer 3

エラーを取るだけなら、以下のようにすればいいのですが、設計上の問題があることは明らかですね…。

$stmt = $this->db->prepare("alter table progs_:groupid add state_" . $i . " tinyint(1) default 0 after state_" . ($i - 1) . ";");

文法エラーは取れても、execute() でエラーになりますね。

運用の中で、テーブルの構造を変更すると言うことが普通ありえないはずです。

---

やろうとしてるのは、ユーザーから受け取った'num'の数だけstate_○フィールドのあるテーブルを作ることです。

create tableの時点で任意の数のフィールドを作るのが難しかったので、後からalter addしようとしました。
重大なセキュリティホールができてしまうとはどういうことでしょうか（参考になるサイト等紹介してくれると嬉しいです）。

テーブル設計において、正規化がなされていないのではありませんか？

参考: テーブルの正規化について

Answer 4

単純にPHPの構文エラーです。
prepare()がどうのとかまったく関係ないです。

$stmt = $this->db->prepare("alter table progs_:groupid add state_"$i" tinyint(1) default 0 after state_"$i-1";");

これを分割して書くと以下になります。文字列として成り立ってないですよね？

$sql = "alter table progs_:groupid add state_"$i" tinyint(1) default 0 after state_"$i-1";";
$stmt = $this->db->prepare($sql);

ほかの方の回答にもありますがPHPも文字列として成り立つようにコーディングしてください。

$sql = "alter table progs_:groupid add state_" . $i . " tinyint(1) default 0 after state_" . ($i - 1) . ";");
$stmt = $this->db->prepare($sql);