Skip to main content
Pequeño error tras modificar ejemplos
Origen Enlace
OscarGarcia
  • 28.5k
  • 3
  • 29
  • 64

La consulta ejecuta SELECT * FROM tabla WHERE ejemplo = 'ejemplo''un_ejemplo' porque se fija el valor de :ejemplo con el contenido de la variable $ejemplo, que es "un_ejemplo" en el momento de ejecutarse bindValue().

La consulta ejecuta SELECT * FROM tabla WHERE ejemplo = 'ejemplo' porque se fija el valor de :ejemplo con el contenido de la variable $ejemplo, que es "un_ejemplo" en el momento de ejecutarse bindValue().

La consulta ejecuta SELECT * FROM tabla WHERE ejemplo = 'un_ejemplo' porque se fija el valor de :ejemplo con el contenido de la variable $ejemplo, que es "un_ejemplo" en el momento de ejecutarse bindValue().

Otro ejemplo ilustrativo
Origen Enlace
OscarGarcia
  • 28.5k
  • 3
  • 29
  • 64

Ejemplo ilustrativo con PDOStatement::bindValue() (2):

$consulta = $db->prepare('INSERT INTO tabla (valor) VALUES (:valor)');

$ejemplo = [ 'a', 'b', 'c', 'd' ];
foreach ($ejemplo as $valor) {
  $consulta->bindValue(':valor', $valor);
  $consulta->execute();
}

Por cada iteración tenemos que hacer un bindValue() y un execute().

Ejemplo ilustrativo con PDOStatement::bindParam() (2):

$consulta = $db->prepare('INSERT INTO tabla (valor) VALUES (:valor)');

$ejemplo = [ 'a', 'b', 'c', 'd' ];
$valor = ''; /* No es necesario, pero es ilustrativo */
$consulta->bindParam(':valor', $valor);
foreach ($ejemplo as $valor) {
  $consulta->execute();
}

Como tenemos guardada la referencia a la variable $valor no es necesario volver a llamar a bindParam() antes de cada execute().


Ejemplo ilustrativo con PDOStatement::bindValue() (2):

$consulta = $db->prepare('INSERT INTO tabla (valor) VALUES (:valor)');

$ejemplo = [ 'a', 'b', 'c', 'd' ];
foreach ($ejemplo as $valor) {
  $consulta->bindValue(':valor', $valor);
  $consulta->execute();
}

Por cada iteración tenemos que hacer un bindValue() y un execute().

Ejemplo ilustrativo con PDOStatement::bindParam() (2):

$consulta = $db->prepare('INSERT INTO tabla (valor) VALUES (:valor)');

$ejemplo = [ 'a', 'b', 'c', 'd' ];
$valor = ''; /* No es necesario, pero es ilustrativo */
$consulta->bindParam(':valor', $valor);
foreach ($ejemplo as $valor) {
  $consulta->execute();
}

Como tenemos guardada la referencia a la variable $valor no es necesario volver a llamar a bindParam() antes de cada execute().

Extensión de la explicación con el comportamiento idéntico y dos ejemplos con resultados diferentes
Origen Enlace
OscarGarcia
  • 28.5k
  • 3
  • 29
  • 64

La propia documentación de PHP te explica la diferencia en la página de PDOStatement::bindParam():

A diferencia de PDOStatement::bindValue(), la variable es vinculada como una referencia y solamente será evaluada en el momento en el que se llame a PDOStatement::execute().

Es decir, en PDOStatement::bindParam() se pasa una referencia de la variable (un "puntero") de manera que si cambias su valor antes de un execute(), éste hará la sustitución con el valor que tengan dichas variables en el instante de llamar al execute(), teniendo en cuenta esas últimas modificaciones.

En PDOStatement::bindValue() se asigna el valor que tenga en ese momento la variable y aunque ésta cambie a lo largo de varias ejecuciones de execute() la sustitución permanece invariable.

Ambas protegen por igual de inyección SQL y tienen exactamente el mismo comportamiento interno una vez resueltas las sustituciones.


Ejemplo ilustrativo con PDOStatement::bindValue():

$consulta = $db->prepare('SELECT * FROM `tabla` WHERE ejemplo = :ejemplo');

$ejemplo = 'un_ejemplo';
/* Aquí es donde se tiene en cuenta el valor de $ejemplo: un_ejemplo */
$consulta->bindValue(':ejemplo', $ejemplo);
$ejemplo = 'otro_ejemplo';

$consulta->execute();

La consulta ejecuta SELECT * FROM tabla WHERE ejemplo = 'ejemplo' porque se fija el valor de :ejemplo con el contenido de la variable $ejemplo, que es "un_ejemplo" en el momento de ejecutarse bindValue().

Ejemplo ilustrativo con PDOStatement::bindParam():

$consulta = $db->prepare('SELECT * FROM `tabla` WHERE ejemplo = :ejemplo');

$ejemplo = 'un_ejemplo';
$consulta->bindParam(':ejemplo', $ejemplo);
$ejemplo = 'otro_ejemplo';

/* Aquí es donde se tiene en cuenta el valor de $ejemplo: otro_ejemplo */
$consulta->execute();

La consulta ejecuta SELECT * FROM tabla WHERE ejemplo = 'otro_ejemplo' porque NO se fija el valor de :ejemplo como el en ejemplo anterior, si no que obtiene el valor de la variable $ejemplo cuando se ejecuta execute(), y en ese momento el valor es "otro_ejemplo".

La propia documentación de PHP te explica la diferencia en la página de PDOStatement::bindParam():

A diferencia de PDOStatement::bindValue(), la variable es vinculada como una referencia y solamente será evaluada en el momento en el que se llame a PDOStatement::execute().

Es decir, en PDOStatement::bindParam() se pasa una referencia de la variable (un "puntero") de manera que si cambias su valor antes de un execute(), éste hará la sustitución con el valor que tengan dichas variables en el instante de llamar al execute(), teniendo en cuenta esas últimas modificaciones.

En PDOStatement::bindValue() se asigna el valor que tenga en ese momento la variable y aunque ésta cambie a lo largo de varias ejecuciones de execute() la sustitución permanece invariable.

La propia documentación de PHP te explica la diferencia en la página de PDOStatement::bindParam():

A diferencia de PDOStatement::bindValue(), la variable es vinculada como una referencia y solamente será evaluada en el momento en el que se llame a PDOStatement::execute().

Es decir, en PDOStatement::bindParam() se pasa una referencia de la variable (un "puntero") de manera que si cambias su valor antes de un execute(), éste hará la sustitución con el valor que tengan dichas variables en el instante de llamar al execute(), teniendo en cuenta esas últimas modificaciones.

En PDOStatement::bindValue() se asigna el valor que tenga en ese momento la variable y aunque ésta cambie a lo largo de varias ejecuciones de execute() la sustitución permanece invariable.

Ambas protegen por igual de inyección SQL y tienen exactamente el mismo comportamiento interno una vez resueltas las sustituciones.


Ejemplo ilustrativo con PDOStatement::bindValue():

$consulta = $db->prepare('SELECT * FROM `tabla` WHERE ejemplo = :ejemplo');

$ejemplo = 'un_ejemplo';
/* Aquí es donde se tiene en cuenta el valor de $ejemplo: un_ejemplo */
$consulta->bindValue(':ejemplo', $ejemplo);
$ejemplo = 'otro_ejemplo';

$consulta->execute();

La consulta ejecuta SELECT * FROM tabla WHERE ejemplo = 'ejemplo' porque se fija el valor de :ejemplo con el contenido de la variable $ejemplo, que es "un_ejemplo" en el momento de ejecutarse bindValue().

Ejemplo ilustrativo con PDOStatement::bindParam():

$consulta = $db->prepare('SELECT * FROM `tabla` WHERE ejemplo = :ejemplo');

$ejemplo = 'un_ejemplo';
$consulta->bindParam(':ejemplo', $ejemplo);
$ejemplo = 'otro_ejemplo';

/* Aquí es donde se tiene en cuenta el valor de $ejemplo: otro_ejemplo */
$consulta->execute();

La consulta ejecuta SELECT * FROM tabla WHERE ejemplo = 'otro_ejemplo' porque NO se fija el valor de :ejemplo como el en ejemplo anterior, si no que obtiene el valor de la variable $ejemplo cuando se ejecuta execute(), y en ese momento el valor es "otro_ejemplo".

Origen Enlace
OscarGarcia
  • 28.5k
  • 3
  • 29
  • 64
Loading