Tengo un formulario que envia al controlador la siguiente información:
<form method="GET" action="index.php">
<input type="hidden" name="nombreTabla" value="Colegios">
<input type="text" name="alumnoID">
<input type="text" name="fechaNacimiento">
</form>
El controlador la recibe y la guarda en la BD:
$nombreTabla = $_GET['nombreTabla']; // Nombre de la tabla de la BD donde se tiene que guardar
$idAlumno = $_GET['alumniID'];
$fechaNacimiento = $_GET['fechaNacimiento'];
// Creo una consulta preparada
$stmt = mysqli->prepare(
"INSERT INTO " . $nombreTabla . "(ALUMNO_ID,FECHA_NACIMIENTO) VALUES (?,?)"
);
$stmt->bind_param('is',$idAlumno,$fechaNacimiento);
$stmt->execute();
$stmt->close();
Mi preocupacion está en la variable $nombreTabla en la consulta preparada ya que según la documentación oficial de PHP no puedo usar un marcador de parametro para un identificador:
Los marcadores (?) son legales solo en ciertos lugares en las sentencias SQL. Por ejemplo, se les permite en la lista VALUES() de una sentencia INSERT (para especificar valores de columna para una fila), o en una comparación con una columna en una cláusula WHERE para especificar un valor de comparación.
Sin embargo, no se les permite para identificadores (como nombres de tabla o columna)...
Me gustaria que me ayudaran a analizar si dejar la consulta asi como está puede suponer una vulnerabilidad ante una inyeccion SQL.
$nombreTabla
que venga de fuera es muy peligroso.