Es imposible hacer lo que pretendes. Las consultas preparadas no son para pasar en parámetro ni nombres de tabla, ni nombres de columna, ni mucho menos el nombre de la base de datos (puedes consultar esta respuesta para más detalles).
Lo más correcto y seguro para el caso que expones, sería crear una lista blanca de valores permitidos, pasar el nombre de base de datos, tabla o columna en parámatro tal cual y verificarlo contra esa lista blanca.
Ejemplo:
//Aquí $dbName equivaldría al valor de $_POST["db"]
function oneFunction ($dbName) {
$allowed=array ("pulpbianca","bdPepito","bdJuanito");
if ( in_array($dbName,$allowed) ) {
$sql="GRANT SELECT, INSERT ON $dbName.* TO ?@'%' IDENTIFIED BY ?;";
$sentencia = $conexcion->prepare($sql);
$sentencia->execute( array($_POST["nombre"],$_POST["pasus"]) );
} else {
//$dbName no está permitida, emitir un error o lo que quieras
}
}
El caso es que en esta sentencia: GRANT SELECT, INSERT ON $dbName.* TO
tienes que pasar el valor de la base de datos de forma literal, sí o sí. Pero aquí, verificando contra $allowed
impides que se ejecute este código en bases de datos que no sean pulpbianca
, bdPepito
o bdJuanito
(por poner un ejemplo :) ). Cualquier otro nombre distinto de esos no ejecutará el código. No hay otra forma de hacerlo, cuando se trata de nombres de base de datos, de tablas o de columnas.