mysql字符串作为表名,作为了MySQLParameter表名

╰+哭是因爲堅強的太久メ 2023-01-24 03:29 14阅读 0赞

![Image 1][]

I want to use MySqlParameter to pass tableName into query (to prevent slq injections)

MySqlCommand cmd = new MySqlCommand("select \* from @table"), cn)

cmd.Parameters.AddWithValue("@table",TableName);

But this is not working. How can I pass tableName as parameter

P.S. I tried to change @ to ? - not working

解决方案

You cannot pass table name as parameter.

You have to use dynamic SQL to do this, so you have to string concentration to do it, for example

MySqlCommand cmd = new MySqlCommand(String.Format("select \* from \{0\}",tableName), cn)

But because users input the tableName, so SQL injection is possible. You can use this SQL to determine if that table exists before query anything from it:

SELECT table\_name

FROM information\_schema.tables

WHERE table\_schema = 'databasename'

AND table\_name = 'tablename';

(You can perfectly parametrize this query, so SQL injection will be eliminated)

Generally, be careful of SQL injection. But if you use this internal (not expose to user), then SQL injection should not be problem.

Better, you can construct a stored procedure to deal with this, as in my another answer:

[Image 1]:

发表评论取消回复

表情：

评论列表（有 0 条评论，14人围观）

还没有评论，来说两句吧...

相关阅读

相关 mysql字符串作为表名,作为了MySQLParameter表名

![Image 1][] I want to use MySqlParameter to pass tableName into query (to prevent slq

╰+哭是因爲堅強的太久メ/ 2023年01月24日 03:29/ 0 赞/ 15 阅读

相关 php mysql搜索表名_php mysql_tablename获取表名

mysql\_tablename介绍 mysql\_tablename — 取得表名语法： string mysql\_tablename ( resource $re

Dear 丶/ 2022年10月25日 05:00/ 0 赞/ 220 阅读

相关 mysql交换表名

借助一个虚拟表名,一句sql搞定表交换,注意,这种不太适合频繁插入更新的表.除非你不在乎那几秒的数据. RENAME TABLE `as_product` TO t3

电玩女神/ 2022年10月08日 12:26/ 0 赞/ 189 阅读

相关 js将字符串作为函数名调用函数

var slideArr=new Array( 'slideLeft', 'slideTop', 'slideRight',

末蓝、/ 2022年10月06日 00:55/ 0 赞/ 235 阅读

相关 Mybatis 将table表名作为参数传入操作

使用 $ 符如在mapper.xml里面的使用： ![fa3c7ef8724bf37b3ea4149ba867d29f.png][] 在mapper层就把这个表名当做普

太过爱你忘了你带给我的痛/ 2022年09月05日 05:13/ 0 赞/ 79 阅读

相关【MySQL】MySQL关键字作为列名表名的处理方式

面试被问到一个问题，假如MySQL中的关键字在查询语句中作为列明或者表名出现，应该怎么处理。例如 select desc from t; 一脸懵逼。尴尬。于

ゝ一世哀愁。/ 2022年06月16日 04:48/ 0 赞/ 261 阅读

相关创建表名作为参数的mysq存储过程【procedure】

简述 > 看到下文受到启发，解决了这个问题 > [https://blog.csdn.net/hengbao4/article/details/78084008][h

矫情吗；*/ 2022年04月08日 12:21/ 0 赞/ 213 阅读

相关 MySQL存储过程接受表名变量作为参数

一般情况下，MySQL的存储过程不接受表名变量作为参数，否则会报错，如下图所示： ![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10

太过爱你忘了你带给我的痛/ 2022年03月12日 10:56/ 0 赞/ 282 阅读

相关 MySQL根据表名注释查询表名

SELECT TABLE\_NAME, TABLE\_COMMENT FROM information\_schema.TABLES WHERE

迈不过友情╰/ 2021年09月21日 07:26/ 0 赞/ 476 阅读

相关 oracle关键字作为列名

在创建表时如果使用了Oralce的某些保留字，将会收到系统提示的“无效名”等错误，那么Oracle都有哪些保留字需要回避呢？这个问题完全可以使用Oralce自带的V$R

╰半橙微兮°/ 2021年06月24日 13:59/ 0 赞/ 631 阅读