2

Tenho um formulário onde o usuário define alguns critérios para que o sistema faça uma busca de dados em um banco de dados mysql. Entre os critérios, o usuário pode escolher duas opções de busca. Essas opções são dois campos da tabela desse banco de dados.

Os dados são enviados via POST e estou utilizando PDO para realizar a pesquisa com uma query sql.

$dataini = filter_input(INPUT_POST, 'data_ini', FILTER_SANITIZE_STRING);
$dataend = filter_input(INPUT_POST, 'data_fim', FILTER_SANITIZE_STRING);

$dataInicial = DateTime::createFromFormat('d/m/Y', $dataini)->format('Y-m-d');
$dataFinal = DateTime::createFromFormat('d/m/Y', $dataend)->format('Y-m-d');
$opdata = filter_input(INPUT_POST, 'op_data', FILTER_SANITIZE_STRING);

$sql = "SELECT nome, setor FROM mytable WHERE :opdata BETWEEN :datainicial AND :datafinal ORDER BY :opdata DESC";

$res = $conecta->prepare($sql);
$res->bindParam(':datainicial', $dataInicial, PDO::PARAM_STR);
$res->bindParam(':datafinal', $dataFinal, PDO::PARAM_STR);
$res->bindParam(':opdata', $opdata, PDO::PARAM_STR);
$res->execute();

No entanto não está dando certo. Qual é o modo correto de passar os nomes de campos de tabela como parâmetros em uma query mysql seguindo os critérios de segurança?

2
  • vc não pode marcar identificadores (nomes de colunas/tabelas) como binds apenas valores.
    – rray
    14/11/2018 às 19:51
  • @rray, como posso passar os nomes das colunas de forma segura para a query?
    – Henqsan
    14/11/2018 às 19:55

1 Resposta 1

2

Use preg_match() para definir quais caracteres são válidos para uma identificador (vulgo nome) isso difculta um ataque de sql injection.

Basicamente a expressão regular diz para procurar um ou mais caracteres que sejam letras, números ou underline.

$campo = 'campo_valido234';

if(preg_match('/^\w+$/i', $campo)){
   $sql = sprintf("SELECT nome, setor FROM mytable WHERE %s BETWEEN :datainicial AND :datafinal ORDER BY %s DESC", $campo, $campo);
}
1
  • Obrigado pela ajuda, deu certo!
    – Henqsan
    17/11/2018 às 21:49

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .