在实时生产数据库上公开创建表的函数是不好的做法

Question

我们有一个分析csv文件并将数据存储到数据库的模块。为了将csv数据映射到正确的字段，映射信息存储在一个表中。我们创建一个html页面来导入映射数据有人需要处理一些不同格式的csv文件。 然而，有人告诉我这是非常危险的，因为它会在导入过程中创建一个新表。所以这样做不好吗？

Answer 1

相比较糟糕的做法是什么？事实上这听起来很普遍。

创建表需要提升访问权限。因此，如果有人发现如何通过输入数据注入查询，则注入的查询将具有表生成级别访问权限。

• csv文件处理脚本必须小心过滤掉不需要的内容 数据。
• 表创建脚本应使用受限制的DB用户 连接到DB。不是root。

除了这两项预防措施可以预防，我没有看到任何不良做法或任何危险的方法。