PDO预处理语句中LIKE操作与动态列名的安全处理

<?php
// 假设 $readdb 是一个已建立的PDO连接
// $search 变量包含要查询的列名，例如 'name'
// $term 变量包含搜索关键词，例如 'apple'

try {
    // 错误示例：尝试同时绑定列名和搜索值
    $stmt = $readdb->prepare("SELECT * FROM athletes WHERE :search LIKE :term");

    // 绑定列名（错误用法，:search 会被视为一个字符串字面量）
    $stmt->bindValue(':search', $search);
    // 绑定搜索值
    $stmt->bindValue(':term', '%' . $term . '%');

    $stmt->execute();
    $results = $stmt->fetchAll(PDO::FETCH_ASSOC);
    // 此时 $results 通常为空，因为查询逻辑错误
    print_r($results);

} catch (PDOException $e) {
    echo "数据库操作失败: " . $e->getMessage();
}
?>

<?php
// 不安全但能工作的示例：直接拼接变量，存在SQL注入风险
// 假设 $readdb 是一个已建立的PDO连接
// $search = 'name'; $term = 'apple';
$stmt = $readdb->prepare("SELECT * FROM athletes WHERE $search LIKE '%$term%' ");
$stmt->execute();
// ...
?>

<?php
// 假设 $readdb 是一个已建立的PDO连接
// $search 变量包含要查询的列名，例如 'name' (来自用户输入或其他动态源)
// $term 变量包含搜索关键词，例如 'apple' (来自用户输入)

// 定义允许查询的列名白名单
$allowedColumns = ['id', 'name', 'city', 'sport', 'country']; // 示例白名单，根据实际数据库表结构定义

// 1. 验证动态列名：确保 $search 在白名单中
if (!in_array($search, $allowedColumns)) {
    // 处理非法列名，例如抛出异常、记录日志或设置为默认值
    throw new InvalidArgumentException("非法的查询列名: " . htmlspecialchars($search));
    // 或者，如果允许默认行为，可以设置为默认列名
    // $search = 'name';
}

try {
    // 2. 准备PDO语句：
    //    - 列名 $search 已经通过白名单验证，是安全的，直接拼接。
    //    - 搜索值 :term 使用占位符进行参数绑定。
    $sql = "SELECT * FROM athletes WHERE " . $search . " LIKE :term";
    $stmt = $readdb->prepare($sql);

    // 3. 绑定搜索值（这部分仍然是安全的）
    $stmt->bindValue(':term', '%' . $term . '%');

    // 4. 执行
    $stmt->execute();

    // 获取并处理结果
    $results = $stmt->fetchAll(PDO::FETCH_ASSOC);
    echo "查询结果：<br>";
    print_r($results);

} catch (PDOException $e) {
    echo "数据库操作失败: " . $e->getMessage();
} catch (InvalidArgumentException $e) {
    echo "输入参数错误: " . $e->getMessage();
}
?>