Гриша, эта константа какая надо константа!
// Так делать нельзя
$stmt = $pdo->prepare('SELECT ? FROM ?);$stmt = $pdo->prepare('SELECT ? FROM `table`);$result = $mysqli->query("UPDATE `razdely` SET name= '$name', city= '$city', strana= '$strana' WHERE `id` = '".$id_razdel."' && `id_creatora` = '".$baza_id."'");$stmt = $mysqli->prepare("INSERT INTO `razdely` (name,city,strana) VALUES (?,?,?)");
$stmt->bind_param("sss", $name,$city,$strana);
$stmt->execute();Хороший вопрос.
$allowedValues = ["name, price"];
if(!in_array($column, $allowedValues)){
throw new \Exception("Unknown columns name");
}
$stmt = $pdo->prepare('SELECT `$column` FROM `table`);Точно так же
Например так?
$stmt = $mysqli->prepare("UPDATE `razdely` SET name = ?,city = ?,strana = ? WHERE `id` = ? && `id_creatora` = ?");
$stmt->bind_param("sssss", $name,$city,$strana,$id,$id_creatora);
$stmt->execute();проще сделать так
$stmt = $mysqli->prepare("INSERT INTO `razdely` (name,city,strana) VALUES (?,?,1)");
$stmt->bind_param("sss", $name,$city);
$stmt->execute();какого текста? вывода куда?
Ок, спрошу по другому.
с чего ты взял, что в БД лежит \"Д\'артаньян\"?
Там может лежать что угодно. Это пользовательские данные. То что передается пользователем через <textarea> в таблицу text с кодировкой utf8_general_ci
Экранирование необходимо, чтобы различать данные и команды. Оно имеет смысл ТОЛЬКО когда ты передаёшь (именно передаёшь, не хранишь!!) данные и команды одним потоком.
Вопросы к CMS, не к нам.
правильно смутил. Если это действительно так, то значит CMS DLE писали криворукие дебилы, которые не понимают как работать с БД. Не будь как они.
Так.
повторю свой вопрос ещё раз:
С вашей помощью, не буду