在 Mysql/PHP Prepared Statement 中按 rand ($foo)

Question

我使用 PHP 的 rand() 生成一个随机字符串并将其存储在会话中。之后我想在准备好的语句中使用它，以便在会话中始终获得相同的随机结果：SELECT * from foo WHERE id = ? ORDER BY rand ($rand)如何保护它免受 SQL 注入？关于什么settype($rand, "integer");谢谢！

Answer 1

RAND arg 也可以是一个准备好的值：

SELECT * from foo WHERE id = ? ORDER BY rand ( ? )

不允许作为准备好的值参数的事情是：

• SQL 语法

• 数据库名称

• 表名

• 列名