php – 使用Codeigniter安全地转义MySQL中的动态表名

基本上,我有一个基于多种因素(流派,播放时长,发布日期等)从数据库中选择专辑的过程 – 这个过程的一部分允许用户创建一堆自定义过滤器.

自定义过滤器会向该选择条件中的所有相册的用户返回一个计数.然后将这些专辑的ID存储在一个带有随机生成的哈希/序列号的表中(例如albumSelect_20880f9c05d68a)

我是这样做的,因为我不想在一个字段中存储一个巨大的逗号分隔列表(真的很傻) – 我并不想在我的HTML中向一个隐藏字段发送一个值数组,因为这会增加数据吞吐量(一次可能有数千行)

在CodeIgniter中,我使用Query Bindings来生成我的SQL查询,如下所示：

select * from artists where artistName = ? AND albumTitle = ?

然后,当我参数化查询时,查询会自动转义

$query = $this->db->query($sql,array("Singer","Album"));

现在是棘手的部分

如果我写我的查询看起来像这样：

$sql = "select albumid from albums where albumid in (select albumid from albumSelect_?)";
$this->db->query($sql,array('20880f9c05d68a'));

生成的查询变为：

select `albumid` from `albums` where `albumid` in (select `albumid` from `albumSelect_'20880f9c05d68a'`)

而且非常正确,但显然查询无效.

编辑：更多信息

查询可以是更大查询的一部分,具体取决于用户选择的条件.例如

$sql = "select albumid from albums where albumid in(select albumid from tags where tag = ?) AND albumid in(select albumid from albumSelect_?)";

我只是想知道是否有办法让这个工作,或者如果有人可以建议一个更好的选择..表名的连接显然不是一个选项.

提前致谢！

戴夫