bindColumnとbindParam/bindValueの併用はできますか？

Question

###前提・実現したいこと
PHPとmariaDBを用いて蔵書管理システムを作っています。
SQLインジェクション対策でSQLクエリ文を組み立てる時にバインドすることにしたのですが、カラムと値を両方バインドする方法が分からなかったので質問させていただきます。

###該当のソースコード

<?php
try{
  require_once 'DbManager.php';
  $db = getDb();
  $db->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
  $db->setAttribute(PDO::ATTR_EMULATE_PREPARES, false);
}catch(PDOException $Exception){
  #die('接続エラー：' .$Exception->getMessage());
}
try{
  $column = $_GET['column'];
  $char = $_GET['text'];
  $sql = 'SELECT * FROM 一般 WHERE :column LIKE :char';
  $stmh = $db->prepare($sql);
  $stmh->bindColumn(':column', $column, PDO::PARAM_STR);
  $stmh->bindValue(':char', '%'.$char.'%', PDO::PARAM_STR);
  $stmh->execute();
}catch(Exception $Exception){
  echo '検索エラー：' .$Exception->getMessage();
  echo "検索エラー";
  die();
}
?>

###試したこと

$stmh->bindValue(':column', $column, PDO::PARAM_STR);

としてみたりしました。

###補足情報(バージョンなど)
PHP 7.0.22-0ubuntu0.16.04.1 (cli) ( NTS )
mysql Ver 15.1 Distrib 10.0.31-MariaDB, for debian-linux-gnu (x86_64) using readline 5.2
nginx version: nginx/1.13.5

Answer 1

bindColumnは、「結果取得時に特定カラムの値を得る」ための機能で、「カラム名をバインドする」ための機能ではありません（PHPマニュアル）。

プリペアードステートメント（予め実行するクエリの構造を与えておいて、後からデータだけ流す）の性質上、列名をバインドできる機能は通常存在しませんので、自力で文字列を組み立てる必要があります。

そして、列名はテーブル構造から決まってきますので、ホワイトリストで検証して、正しい列名だけを埋め込む、という処理を行わないと、SQLインジェクションになります。

Answer 2

たとえばこんな感じです

<form>
<input type="radio" name="column" value="aaa">aaa<br>
<input type="radio" name="column" value="bbb">bbb<br>
<input type="radio" name="column" value="ccc">ccc<br>
<input type="radio" name="column" value="ddd">ddd<br>
<input type="radio" name="column" value="bad data">bad data<br>
<input type="submit" value="go">
</form>
<?PHP
$columns=["aaa","bbb","ccc","ddd"];
$pattern="/^".implode("|",$columns)."$/";
$column = filter_input(INPUT_GET,'column',FILTER_VALIDATE_REGEXP,["options"=>["regexp"=>$pattern]]);
if($column===false){
  print "bad column name";
}elseif(!is_null($column)){
  $sql = "SELECT * FROM 一般 WHERE {$column} LIKE :char";
  print $sql;
}
?>

columnの名称にエスケープが必要な場合は別途工夫が必要