Ah, ich hab das $ bei table übersehn.
Doch, $table sollt schon escaped werden.
Und $col auch.

edit: In dem Fall, wenn das $table aus einem select kommt, der den tablenamen liefert sollts wurscht sein, da ist glaub ich nix böses drin.
Aber so muss es ja nicht bleiben.

edit2: Und falls es performancekritisch ist, schau mal nach wie gut der Queryoptimizer das herausfinden deiner 1. Spalte optimieren kann.
Nicht dass der intern nen kompletten select der ganzen Table fährt und erst dann abschneidet.
mysql hat z.B. auch ein "Show columns"
Last edited: 2015-11-16 11:27:43 +0100 (CET)