php - 文字列がPHPのMySQL関数であるかどうかを確認します

Question

配列を受け取り、配列のキーと値のペアに基づいてSQLステートメントを作成する関数があります。例えば：

 name=>SomeKittens

になります

(`name`) VALUES ('SomeKittens')

唯一の問題は、などのMySQL文字列関数を使用する場合NOW()です。

creation_date=>NOW()

になる

(`creation_date`) VALUES ('NOW()')

NOW()エスケープされていることに注意してください。値がMySQL文字列関数であるかどうかを検出する方法はありますか？（もちろん$value === "NOW()"）

私はJoomlaDBOを使用していますが、PDO/MySQLiソリューションも利用できます。

score 4 · Accepted Answer

引数付きの関数を許可すると、SQLインジェクションからデータベースを保護できるとは思いません。
引数のない関数（NOW（）など）のみを許可する場合は、リストをハードコーディングすることもできます。

score 1 · Accepted Answer

クエリを作成するときに、「NOW（）」文字列ではなくNOW（）関数呼び出しに変換することがわかっているMYSQL_NOWのような定数を定義したい場合があります。

2 に答える 2