1

Tengo una consulta un poco compleja y la estoy realizando con DB::raw, no quiero ponerle los parametros dentro de la cadena del query para no hacerla vulnerable a SQL Injection y demás tecnicas que puedan explotar un punto debil de mi consulta, entonces leyendo encontre que esa misma función raw recibe como segundo parámetro un arreglo con clave => valor usado para reemplazar las ocurrencias en la consulta que presenten este formato :clave.

Mi código es el siguiente:

$criteria = $request->get('criteria');
$data = DB::select(
    DB::raw("SELECT DISTINCT id, obtain_prefix.prefix, ".
        "(CASE WHEN prefix = 'WO' THEN number WHEN prefix = 'PN' THEN part_number WHEN prefix like 'COND%' THEN description ".
        "ELSE NULL END) AS right_value FROM (SELECT DISTINCT work_orders.id, work_orders.number AS number, ".
        "inventory_master.part_number AS part_number, part_conditions.description AS description, ".
        "(CASE WHEN number like :criteria THEN 'WO' WHEN part_number like :criteria THEN 'PN'".
        "WHEN part_conditions.description like '' THEN 'CONDITION' ELSE NULL END) AS prefix ".
        "FROM work_orders LEFT JOIN work_order_quotes ON work_order_quotes.work_order_id = work_orders.id ".
        "LEFT JOIN work_order_parts ON work_order_parts.work_order_quote_id = work_order_quotes.id ".
        "JOIN inventory_master ON work_order_parts.inventory_master_id = inventory_master.id ".
        "LEFT JOIN part_conditions ON part_conditions.id = work_order_parts.condition_id WHERE ".
        "work_order_status_id IN ( 1, 2, 3 )) obtain_prefix where prefix IS NOT NULL", compact('criteria))
);

He intentado con:

DB::select(DB::raw("...query...", ['criteria' => $criteria]));

DB::select(DB::raw("...query...")->addBinding('criteria', $criteria));

DB::select(DB::raw("...query..."))->addBinding('criteria', $criteria);

La consulta si la saco de la sentencia del DB::select y la pongo en un gestor de base de datos corre perfectamente. Ahora cuando ejecuto este codigo en php me da error pk no encuentra :criteria, el arma la consulta pero no termina de reemplazar los valores del binding, que podrá ser????

En los dos ultimos ejemplos de lo que he ido probando me indica que no encuentra la función addBinding

Hice el código mucho mas simple para comprobar si era por la complejidad de la consulta y probe con esto:

DB::select(DB::raw('select * from work_orders where number like :number', ['number' => '2019%']));

Me lanza el siguiente error: Illuminate/Database/QueryException with message 'SQLSTATE[HY000]: General error: 2031 (SQL: select * from work_orders where number like :number )'

Como decia anteriormente es como si nunca reemplazara el :number

1 respuesta 1

1

El binding se hace en el método select() y no en raw().

El método raw() solo acepta un parámetro y es la consulta:

DB::select(DB::raw('select * from work_orders where number like :number'), ['number' => '2019%']);

Ejemplo de la documentación:

$results = DB::select('select * from users where id = :id', ['id' => 1]);

Código del método raw, por si te quedan dudas:

/**
 * Create a raw database expression.
 *
 * @param  mixed  $value
 * @return \Illuminate\Database\Query\Expression
 */
public function raw($value)
{
    return $this->connection->raw($value);
}
2
  • Despues de tanto buscar llegue a tu misma conclusión es en select donde debo usar el binding ahora el problema es que tengo 3 veces :criteria y al ponerle en el binding ['criteria' => $criteria] me dice que la cantidad de parametros es incorrecta, tendria que pasarle :criteria1 :criteria2 y :criteria3 o deberia usar ? y pasar un arreglo con los 3 elementos repetidos. De igual forma gracias!!!! el 3 jun. 2019 a las 15:01
  • Esa limitante la da PHP, no Laravel, según la documentación de PHP: Se debe incluir un único marcador de parámetro para cada valor que se desee pasar a la sentencia cuando se llame a PDOStatement::execute(). No se puede usar un marcador de parámetro con nombre con el mismo nombre más de una vez en una sentencia preparada, a menos que el modo de emulación esté activado., pero hay algunas formas de saltar esta regla, una búsqueda en Google ayudará.
    – Shaz
    el 3 jun. 2019 a las 15:12

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.