防注入函数有没必要过滤字段名?

可以不过滤！
但是如果要构成SQL命令，那么只要过滤：
‘ ；& * ( ) [ ] { }
就行了

要，注入就是要知道你的字段名，需要猜解你的字段名才能进行注入，所以有必要过滤之。

没有这个必要，只要过滤掉危险字符就好了，你想这些危险字符无法起作用了，即使知道字段名又能怎样。。。