PDO place horders pour le nom de table et champs ?

[drYouz]

Bonjour,

J'essaies de faire ceci :

Code :

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
$sql2 = "INSERT INTO :table (idratio, :champ) VALUES ($dernier_id, :id)";
    $prep2 = $db->prepare($sql2);
    //On construit les blindValues en fonction des paramètres renseignés
    //Puis on insert à chaque if = true
    if (!isset($idjeu) && is_int($idjeu)) {
        $prep2->bindValue(':table', 'bonus_jeu', PDO::PARAM_STR);
        $prep2->bindValue(':champ', 'idjeu', PDO::PARAM_STR);
        $prep2->bindValue(':id', $idjeu, PDO::PARAM_INT);
        $prep->execute();
    }
    if (!isset($idlangue) && is_int($idlangue)) {
        $prep2->bindValue(':table', 'bonus_langue', PDO::PARAM_STR);
        $prep2->bindValue(':champ', 'idlangue', PDO::PARAM_STR);
        $prep2->bindValue(':id', $idlangue, PDO::PARAM_INT);
        $prep->execute();
    }
    if (!isset($idtypecontent) && is_int($idtypecontent)) {
        $prep2->bindValue(':table', 'bonus_typecontent', PDO::PARAM_STR);
        $prep2->bindValue(':champ', 'idtypecontent', PDO::PARAM_STR);
        $prep2->bindValue(':id', $idtypecontent, PDO::PARAM_INT);
        $prep->execute();
    }
    if (!isset($idlangue) && is_int($idlangue)) {
        $prep2->bindValue(':table', 'bonus_langue', PDO::PARAM_STR);
        $prep2->bindValue(':champ', 'idlangue', PDO::PARAM_STR);
        $prep2->bindValue(':id', $idlangue, PDO::PARAM_INT);
        $prep->execute();
    }

est-ce possible ?

[grunk]

Non,
par contre ça :

Code :

$sql2 = "INSERT INTO $table (idratio, $champs) VALUES ($dernier_id, :id)";

oui

Donc dans ton cas il faut repréparer la requête, ce qui logique puisque n'étant pas sur les même table/champs le plan d'execution compilé lors du prepare ne peut être identique.

même si à priori tu ne peux pas injecter grand chose à ces endroits là il convient de bien nettoyer/filtrer/vérifier $table et $champs.