0

Buenas!
Les comento mi problema:

Mi problema esta al querer crear una tabla para una base de datos usando PrepareStatement y utilizando un holder para asignarle el nombre a la tabla.
El código del "Ejemplo1" funciona perfectamente, el tema es que por una cuestión de seguridad me gustaría hacerlo como en el "Ejemplo2", pero la syntax no es correcta.



¿Cómo se usa el holder (':tabla') en ese caso? ¿Es inseguro si lo hago como en el primer ejemplo?

EJEMPLO 1 (Funciona sin problemas):

$statement = $conexion->prepare("CREATE TABLE IF NOT EXISTS $tabla (id INT(11) AUTO_INCREMENT PRIMARY KEY, nombre VARCHAR(50) NOT NULL, apellido VARCHAR(50) NOT NULL)");
$statement->execute();

EJEMPLO 2 (Error de Syntax):

$statement = $conexion->prepare("CREATE TABLE IF NOT EXISTS :tabla (id INT(11) AUTO_INCREMENT PRIMARY KEY, nombre VARCHAR(50) NOT NULL, apellido VARCHAR(50) NOT NULL)");
$statement->execute(array(':tabla' => $tabla));

ERROR:

Fatal error: Uncaught PDOException: SQLSTATE[42000]: Syntax error or access violation: 1064 You have an error in your SQL syntax; check the manual that corresponds to your MariaDB server version for the right syntax to use near ''nombres' (reg INT(11) AUTO_INCREMENT PRIMARY KEY, nombre VARCHAR(50) NOT NUL...' at line 1 in C:\xampp\htdocs\Mi_LocalHost\Enunciados\1\borrar.php:14 Stack trace: #0 C:\xampp\htdocs\Mi_LocalHost\Enunciados\1\borrar.php(14): PDOStatement->execute(Array) #1 {main} thrown in C:\xampp\htdocs\Mi_LocalHost\Enunciados\1\borrar.php on line 14

6
  • Ayudaría mucho a la comunidad si anexas el mensaje de error que estás obteniendo
    – user128299
    Commented el 30 jun. 2021 a las 23:01
  • La documentación dice: ”No se pueden vincular usando parámetros una parte del literal, ni una palabra clave, ni un identificador...”
    – Sal
    Commented el 30 jun. 2021 a las 23:11
  • La variable $tabla del primer ejemplo ya está definida o de algún modo el usuario la introduce?
    – MR Dev
    Commented el 30 jun. 2021 a las 23:11
  • @MRDev La variable $tabla es introducida por un formulario y recibida en el .php. A lo que recibo le aplico "FILTER_SANITIZE_STRING" antes de guardarla en $tabla. Commented el 30 jun. 2021 a las 23:20
  • @Sal Dale, muchas gracias. Soy bastante nuevo en el mundo de la programación y hay bastantes cosas que desconozco. ¿Donde puedo encontrar la documentación que acabas de citar? Commented el 30 jun. 2021 a las 23:39

0