La propia documentación de PHP te explica la diferencia en la página de PDOStatement::bindParam()
:
A diferencia de
PDOStatement::bindValue()
, la variable es vinculada como una
referencia y solamente será evaluada en el momento en el que se llame
a PDOStatement::execute()
.
Es decir, en PDOStatement::bindParam()
se pasa una referencia de la variable (un "puntero") de manera que si cambias su valor antes de un execute()
, éste hará la sustitución con el valor que tengan dichas variables en el instante de llamar al execute()
, teniendo en cuenta esas últimas modificaciones.
En PDOStatement::bindValue()
se asigna el valor que tenga en ese momento la variable y aunque ésta cambie a lo largo de varias ejecuciones de execute()
la sustitución permanece invariable.
Ambas protegen por igual de inyección SQL y tienen exactamente el mismo comportamiento interno una vez resueltas las sustituciones.
Ejemplo ilustrativo con PDOStatement::bindValue()
:
$consulta = $db->prepare('SELECT * FROM `tabla` WHERE ejemplo = :ejemplo');
$ejemplo = 'un_ejemplo';
/* Aquí es donde se tiene en cuenta el valor de $ejemplo: un_ejemplo */
$consulta->bindValue(':ejemplo', $ejemplo);
$ejemplo = 'otro_ejemplo';
$consulta->execute();
La consulta ejecuta SELECT * FROM tabla WHERE ejemplo = 'ejemplo'
porque se fija el valor de :ejemplo
con el contenido de la variable $ejemplo
, que es "un_ejemplo" en el momento de ejecutarse bindValue()
.
Ejemplo ilustrativo con PDOStatement::bindParam()
:
$consulta = $db->prepare('SELECT * FROM `tabla` WHERE ejemplo = :ejemplo');
$ejemplo = 'un_ejemplo';
$consulta->bindParam(':ejemplo', $ejemplo);
$ejemplo = 'otro_ejemplo';
/* Aquí es donde se tiene en cuenta el valor de $ejemplo: otro_ejemplo */
$consulta->execute();
La consulta ejecuta SELECT * FROM tabla WHERE ejemplo = 'otro_ejemplo'
porque NO se fija el valor de :ejemplo
como el en ejemplo anterior, si no que obtiene el valor de la variable $ejemplo
cuando se ejecuta execute()
, y en ese momento el valor es "otro_ejemplo".