0

Si uso esta cadena funciona

$sentencia = $conexion->prepare("GRANT SELECT, INSERT ON pulpbianca.* TO ?@'%' IDENTIFIED BY ?;");
$sentencia->execute([$_POST["nombre"],$_POST["pasus"]]);

Pero deseo pasar la bd por parámetro usando esta

$sentencia = $conexion->prepare("GRANT SELECT, INSERT ON ?.* TO ?@'%' IDENTIFIED BY ?;");
$sentencia->execute([$_POST["db"],$_POST["nombre"],$_POST["pasus"]]);
3
  • Qué error te devuelve? Puedes probar usando errorInfo(): php.net/manual/es/pdostatement.errorinfo.php Commented el 21 ene. 2020 a las 19:26
  • 1
    Es imposible hacer eso. Las consultas preparadas no son para pasar en parámetro ni nombres de tabla, ni nombres de columna, ni mucho menos el nombre de la base de datos. Las consultas preparadas tienen el propósito de blindar contra Inyección SQL en los datos que manejan las consultas. Para otro tipo de operaciones dinámicas tendrías que crear tu propia lista blanca, verificar que el dato está en esa lista y entonces sustituirlo y mandar la consulta con el nombre explícito de la BD, tabla o columna.
    – A. Cedano
    Commented el 21 ene. 2020 a las 20:26
  • Precisar que la principal razón de las sentencias preparadas es optimizar el rendimiento/procesamiento de sentencias similares que se ejecutarán varias veces; la prevención de inyecciones SQL es un beneficio secundario.
    – Sal
    Commented el 22 ene. 2020 a las 1:07

1 respuesta 1

2

Es imposible hacer lo que pretendes. Las consultas preparadas no son para pasar en parámetro ni nombres de tabla, ni nombres de columna, ni mucho menos el nombre de la base de datos (puedes consultar esta respuesta para más detalles).

Lo más correcto y seguro para el caso que expones, sería crear una lista blanca de valores permitidos, pasar el nombre de base de datos, tabla o columna en parámatro tal cual y verificarlo contra esa lista blanca.

Ejemplo:

//Aquí $dbName equivaldría al valor de $_POST["db"]
function oneFunction ($dbName) {
    $allowed=array ("pulpbianca","bdPepito","bdJuanito");
    if ( in_array($dbName,$allowed) ) {
        $sql="GRANT SELECT, INSERT ON $dbName.* TO ?@'%' IDENTIFIED BY ?;";
        $sentencia = $conexcion->prepare($sql); 
        $sentencia->execute( array($_POST["nombre"],$_POST["pasus"]) );
    } else {
        //$dbName no está permitida, emitir un error o lo que quieras
    }
}

El caso es que en esta sentencia: GRANT SELECT, INSERT ON $dbName.* TO tienes que pasar el valor de la base de datos de forma literal, sí o sí. Pero aquí, verificando contra $allowed impides que se ejecute este código en bases de datos que no sean pulpbianca, bdPepito o bdJuanito (por poner un ejemplo :) ). Cualquier otro nombre distinto de esos no ejecutará el código. No hay otra forma de hacerlo, cuando se trata de nombres de base de datos, de tablas o de columnas.

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.