0

下記を実行するたびにjpyは1足されていきます。

$stmt = $pdo->prepare('UPDATE TABLE SET jpy = jpy + 1 WHERE ID = 1000');
$stmt->execute();

変更したい値を変数で変えたいのですが反映されません。

$money = 'usd';
$stmt = $pdo->prepare('UPDATE TABLE SET :money = :money + 1 WHERE ID = 1000');
$stmt->bindParam(':money', $money, PDO::PARAM_STR);
$stmt->execute();

構文のように一つの行の一つのカラムの値をプラス1したいだけです。
?を使ったりPARAM_INTbindValueなど試しましたがダメでした。
ifなど使わずスマートにセキュアにダイナミックかつアグレッシブでフレキシブルに上記を反映させるにはどうすればよいですか?

1 件の回答 1

1

PDOにおいて、また多くのDBのAPIにおいて、パラメータは値として扱われるので、列名をパラメータとして指定することはできません。

条件分岐をしたくないだけなら次のような書き方はできます。

$money = 'usd';
$sql_by_money = [
    'usd' => 'UPDATE TABLE SET usd = usd + 1 WHERE ID = 1000',
    'jpy' => 'UPDATE TABLE SET jpy = jpy + 1 WHERE ID = 1000',
    ...
];
if (isset($sql_by_money[$money])) {
    $pdo->query($sql_by_money[$money]);
}

SQLを各パターン用意するのが嫌、あるいは現実的でないなら、文字列結合するしかないです。

$money = 'usd';
$pdo->query("UPDATE TABLE SET $money = $money + 1 WHERE ID = 1000");

もちろん脆弱性を作りこみやすい方法ですから、この方法を選ぶのであれば埋め込む文字列をしっかり検証すべきです。例えば候補となる列名のリストを持っておき、それと一致するか確かめるなどするとよいでしょう。仮にパラメータとして列名が渡せたとしても、SQLインジェクションを防ぐことができるというだけで、意図せぬ列名が指定されることを防ぐことはできません。

2
  • Prepare文に変数を扱うことは脆弱性に差し支えありませんか? Commented 2016年11月16日 14:32
  • 1
    @まめたろう 脆弱性になりやすいのは確かですが、十分な対策を行えば使っていけないものではないでしょうし、それだけの価値はあります。回答は少し更新しました。
    – unarist
    Commented 2016年11月16日 15:12

この質問に回答するには、ログインする必要があります。

求めていた回答ではありませんか? のタグが付いた他の質問を参照する。