質問: $s_row[$_POST['data_column']]; } } else { 例外処理; } //取得した結果を返却 echo json_encode($array); ```
回答: > > $s_sql = sprintf("SELECT %1s FROM %2s %3s", $requestcolumn, $requesttable, $requestcondition); > > > SQL文に直接カラム名やテーブル名など参照させるのはセキュリティ的に論外です。 想定とするカラム名やテーブル名を前もってもっておき 合致したときにSQL文として形成するようにして下さい (プレースホルダなど置き換え処理云々以前の問題です)