3

¡Hola! Estoy desarrollando una aplicación web para un proyecto y encontré un código el cual funciona perfecto para mis necesidades, el problema es, que una de las cosas necesarias para la evaluación, es que se use PDO en vez de mysqli, he estado investigando por mi cuenta y no puedo encontrar la manera de pasarlo. Si pudieran ayudarme se los agradecería bastante. Este es el código (Suponiendo que ya me he conectado a la base de datos previamente):

    <?php
//insert order details into database
    $insertOrder = $db->query("INSERT INTO ORDEN_VENTA (NO_ORDEN, USUARIO, TIPO, TOTAL, FORMA_PAGO, SUCURSAL, ESTADO) VALUES ('','".$_SESSION['sessCustomerID']."','LLEVAR','".$cart->total()."','EFECTIVO','".$_SESSION['IDSUCURSAL']."', 'curdate()', 'PENDIENTE')");
            
            if($insertOrder){
                $orderID = $db->insert_id;
                $sql = '';
                $db->query("INSERT INTO NOTIFICACIONES (ID_NOT, ID_SUC, NUM_ORDEN, ESTADO) VALUES ('', '".$_SESSION['IDSUCURSAL']."','".$orderID."', 'PENDIENTE')" );
                // get cart items
                $cartItems = $cart->contents();
                foreach($cartItems as $item){
                    $sql .= "INSERT INTO DETALLE_ORDEN (NO_ORDEN,PRODUCTO, CANTIDAD, NOTAS) VALUES ('".$orderID."', '".$item['id']."', '".$item['qty']."', '');";
                }
                // insert order items into database
                $insertOrderItems = $db->multi_query($sql);
                
                if($insertOrderItems){
                    $cart->destroy();
                    header("Location: orderSuccess.php?id=$orderID");
                }else{
                    header("Location: checkout.php");
                }
            }else{
                header("Location: checkout.php");
            }
    ?>

Anexo también la clase mediante la cual me conecto a la database por PDO:

<?php 
class Database{
    private $PDOLocal;
    private $user = "root";
    private $password = "";
    private $server = "mysql:host=localhost; dbname=empresatienda";
    function conectarDB()
    {
        try
        {
            $this->PDOLocal= new PDO($this->server, $this->user, $this->password);
        }
        catch(PDOException $e)
        {
            echo $e->getMessage();
        }
    }
    function desconectarDB()
    {
        try
        {
            $this->PDOLocal= null;
        }
        catch(PDOException $e)
        {
            echo $e->getMessage();
        }
    }

    function seleccionar($consulta)
    {
        try
        {
            $resultado = $this->PDOLocal->query($consulta);
            $fila = $resultado->fetchAll(PDO::FETCH_OBJ);
            return $fila;
        }
        catch(PDOException $e)
        {
            echo $e->getMessage();
        }
    }
    function selec($consulta)
    {
        try
        {
            $resultado = $this->PDOLocal->query($consulta);
            $fila = $resultado->fetchAll(PDO::FETCH_ASSOC);
            return $fila;
        }
        catch(PDOException $e)
        {
            echo $e->getMessage();
        }
    }

    function ejecutarSQL($consulta)
    {
        try
        {
            $this->PDOLocal->query($consulta);
        }
        catch(PDOException $e)
        {
            echo $e->getMessage();
        }
?>

De antemano muchisimas gracias.

5
  • Por que quieres cambiar a mysqli?, si hacerlo por PDO es la manera mas optima.
    – Roly Q.
    Commented el 12 ago. 2023 a las 1:35
  • No es que lo quiera cambiar de PDO a mysqli, sino el caso contrario, de mysqli a PDO. Commented el 12 ago. 2023 a las 1:40
  • Suena a una pregunta muy amplia ¿En qué parte en específico tienes duda o problema? ¿Al crear la conexión? ¿En sentencias preparadas? ¿Al hacer C, R, U o D? ¿Al hacer fetch?.
    – Sal
    Commented el 12 ago. 2023 a las 14:54
  • No es sano crear métodos que usan una sola línea de una librería. A menos que sea para implementar ciertos patrones de diseño los métodos 1:1 lejos de tener un valor, añaden complejidad innecesaria. Lo mejor que puedes hacer es abrazar y dominar -lo que para tí es- una nueva librería, ni es demasiado ni es complicado, es mas la resistencia al cambio que otra cosa. Si es por una cantidad inhumana de código, necesitarías especificarlo y podremos darle cauce.
    – Sal
    Commented el 12 ago. 2023 a las 14:59
  • @Roly : "PDO es la manera mas optima" ¿Para optimizar qué?
    – Sal
    Commented el 12 ago. 2023 a las 15:06

2 respuestas 2

4

El enfoque que estás dando a este código no es correcto, ni en mysqli, ni en PDO ni en ningún lado, porque la seguridad está comprometida. Con este código podrías sufrir inyección SQL.

Para solucionarlo, deberías usar consultas preparadas.

Por otra parte, PDO permite multi query, pero para ello debes hacerlo con preparaciones emuladas, lo cual podría comprometer en muchos casos la seguridad.

Para resolver esto de un modo seguro y estandarizado, lo mejor es usar transacciones. Esto te permite ejecutar varias consultas distintas en un contexto de transacción. Además, si algo sale mal, puedes revertir todo. Esto es importante en escenarios donde debe haber un control estricto de los datos. Imagina que alguna de esas inserciones falle y luego tengas que ponerte a ver cuál de ellas fue la que falló. El uso de transacciones te permite revertir el bloque completo de inserciones.

Todavía esto tendría una mejor solución a nivel de base de datos, pero ese es otro asunto. Lo cierto es que tú puedes programar un disparador (TRIGGER) que haga las inserciones en la tabla DETALLE_ORDEN (o en cualquier otra tabla dependiente). Así, evitarías por código PHP tener que recuperar cada vez el último ID y demás historias. El SGBD disparará el código y hará la inserción de forma totalmente transparente para el usuario.

Dejado eso en el tintero, veamos cómo sería en un contexto de transacciones.

En primer lugar, enciende el modo de excepciones en tu conexión a PDO y apaga las preparaciones emuladas (haremos ambas cosas mediante el array $options que pasaremos como cuarto parámetro a la conexión). Además, establece bien el charset, para que no tengas problemas de codificación de caracteres (esto lo haremos en $server).

Para hacer ambas cosas, modifica la conexión así:

class Database{
    private $PDOLocal;
    private $user = "root";
    private $password = "";
    private $server = "mysql:host=localhost;dbname=empresatienda;charset=utf8";
    function conectarDB()
    {
        try
        {
            $options=array(
                            PDO::ATTR_EMULATE_PREPARES=>false,
                            PDO::ATTR_ERRMODE=>PDO::ERRMODE_EXCEPTION
                          );

            $this->PDOLocal= new PDO($this->server, $this->user, $this->password,$options);
        }
        catch(PDOException $e)
        {
            echo $e->getMessage();
        }
    }

    //... etc

}

Ahora vamos a resolver el código de un modo seguro, usando consultas preparadas y en un contexto de transacciones. Pongo comentarios en varios puntos, para que sepas lo que se hace cada vez, puesto que son muuuchos cambios con respecto a tu código original.

try 
{
    /*
        En primer lugar, deben prepararse TODAS las consultas
        antes de empezar la transacción.
        Esto no es ningún problema, porque las consultas no varían,
        varían los datos que se vinculan. Este es precisamente
        el quid de la prevención contra Inyección SQL
    */
    $sql="INSERT INTO ORDEN_VENTA (NO_ORDEN, USUARIO, TIPO, TOTAL, FORMA_PAGO, SUCURSAL, ESTADO) VALUES (:no_orden,:usuario,:tipo,:total,:forma_pago,:sucursal,:estado)";
    $stmtOrder = $db->prepare($sql);
    
    $sql="INSERT INTO NOTIFICACIONES (ID_NOT, ID_SUC, NUM_ORDEN, ESTADO) VALUES (:id_not,:id_suc,:num_orden,:estado)";
    $stmtNotification = $db->prepare($sql);
    
    $sql="INSERT INTO DETALLE_ORDEN (NO_ORDEN,PRODUCTO, CANTIDAD, NOTAS) VALUES (:no_orden, :producto, :cantidad, :notas)";
    $stmtDetalle = $db->prepare($sql);
    
    /*
        Empezamos la transacción 
    */
        
    $db->beginTransaction();

    /*
        Variables para valores fijos 
        porque al vincular con bindParam no se pueden pasar valores a mano
    */
    $empty='';
    $tipo='LLEVAR';
    $forma_pago='EFECTIVO';
    $sucursal=sprintf('%s %s',$_SESSION['IDSUCURSAL'],date('Y-m-d H:i:s'));
    $estado='PENDIENTE';
    
    /*
        Vinculación de datos de la primera consulta
    */
    $stmtOrder->bindParam(':no_orden',$empty,PDO::PARAM_STR);
    $stmtOrder->bindParam(':usuario',$_SESSION['sessCustomerID'],PDO::PARAM_STR);
    $stmtOrder->bindParam(':tipo',$tipo,PDO::PARAM_STR);
    $stmtOrder->bindParam(':total',$cart->total(),PDO::PARAM_STR);
    $stmtOrder->bindParam(':forma_pago',$forma_pago,PDO::PARAM_STR);
    $stmtOrder->bindParam(':sucursal',$sucursal,PDO::PARAM_STR);
    $stmtOrder->bindParam(':estado',$estado,PDO::PARAM_STR);
    $stmtOrder->execute();  
    $orderID = $db->lastInsertId();
    
    /*
        Con esto verificamos que hubo una inserción ...
        OJO: Para que esto funcione, la tabla debe tener una columna
        del tipo AUTO_INCREMENT 
    */ 
    if ($orderID > 0) 
    {
        /*
            Vinculación de datos para el INSERT
            de la tabla NOTIFICACIONES
        */
        $stmtNotification->bindParam(':id_not',$empty,PDO::PARAM_STR);
        $stmtNotification->bindParam(':id_suc',$_SESSION['IDSUCURSAL'],PDO::PARAM_STR);
        $stmtNotification->bindParam(':num_orden',$orderID,PDO::PARAM_STR);
        $stmtNotification->bindParam(':estado',$estado,PDO::PARAM_STR);     
        $stmtNotification->execute();   
        
        
        $cartItems = $cart->contents();
        foreach($cartItems as $item)
        {
            /*
                Vinculación de datos para el INSERT de la tabla DETALLE_ORDEN
                Dentro del bucle, sólo vinculamos cada dato 
                y ejecutamos la consulta
            */
            $stmtDetalle->bindParam(':no_orden',$orderID,PDO::PARAM_STR);
            $stmtDetalle->bindParam(':producto',$item['id'],PDO::PARAM_STR);
            $stmtDetalle->bindParam(':cantidad',$item['qty'],PDO::PARAM_STR);
            $stmtDetalle->bindParam(':notas',$empty,PDO::PARAM_STR);        
            $stmtDetalle->execute();                            
        }
        /*
            Aquí confirmamos la transacción de
            todas las consultas anteriores
        */
        $db->commit();

        $header=sprintf('Location: orderSuccess.php?id=%s',$orderID);
        $cart->destroy();       
    } else {
        /*
            No se insertó un LAST_ID, hacer el location que corresponda
        */      
        $header='Location: checkout.php?msg=No se insertó un LAST_ID';
    }
        
    header($header);        
    
}
catch(\PDOException $e)
{
    /*
        Si ocurre cualquier error aquí revertimos la consulta con rollBack 
        esto evitará inconsistencia en los datos.
        Aquí pondremos en el header un mensaje con lo obtenido en getMessage()
        aunque en producción conviene cambiarlo por un mensaje personalizado.
    */
        $db->rollBack();
        $header=sprintf('Location: checkout.php?msg=%s',$e->getMessage());
        header($header);
        
}
2

Esta el forma de pasar de PDO a mysqli, espero que te sirva.

<?php 
class Database{
    private $mysqliLocal;
    private $user = "root";
    private $password = "";
    private $server = "localhost";
    private $dbname = "empresatienda";

    function conectarDB()
    {
        // Creamos una nueva instancia de la clase mysqli para conectarnos a la base de datos.
        $this->mysqliLocal = new mysqli($this->server, $this->user, $this->password, $this->dbname);

        // Verificamos si hay un error de conexión y lo manejamos en caso de que ocurra.
        if ($this->mysqliLocal->connect_error) {
            die("Connection failed: " . $this->mysqliLocal->connect_error);
        }
    }

    function desconectarDB()
    {
        // Cerramos la conexión a la base de datos.
        $this->mysqliLocal->close();
    }

    function seleccionar($consulta)
    {
        // Ejecutamos la consulta en la base de datos.
        $resultado = $this->mysqliLocal->query($consulta);

        // Verificamos si la consulta se ejecutó con éxito.
        if ($resultado) {
            $fila = [];
            // Iteramos a través de las filas del resultado y las almacenamos en un arreglo.
            while ($row = $resultado->fetch_object()) {
                $fila[] = $row;
            }
            // Liberamos los recursos del resultado.
            $resultado->free_result();
            return $fila;
        } else {
            // En caso de error, mostramos el mensaje de error.
            echo "Error: " . $this->mysqliLocal->error;
            return [];
        }
    }

    function selec($consulta)
    {
        // Similar a la función seleccionar(), pero utilizamos fetch_assoc() para obtener un arreglo asociativo.
        $resultado = $this->mysqliLocal->query($consulta);
        if ($resultado) {
            $fila = [];
            while ($row = $resultado->fetch_assoc()) {
                $fila[] = $row;
            }
            $resultado->free_result();
            return $fila;
        } else {
            echo "Error: " . $this->mysqliLocal->error;
            return [];
        }
    }

    function ejecutarSQL($consulta)
    {
        // Ejecutamos una consulta SQL, y si tiene éxito, mostramos un mensaje.
        if ($this->mysqliLocal->query($consulta) === TRUE) {
            echo "Query executed successfully.";
        } else {
            // Si ocurre un error, mostramos el mensaje de error.
            echo "Error: " . $this->mysqliLocal->error;
        }
    }
}
?>
1
  • Se agradece mucho la respuesta, pero lo que buscaba realmente era poder cambiar tanto los $db->query, como el $db->multy-query, puesto que allí es donde se utiliza mysqli. Pues según especificaciones del proyecto, se debe usar PDO. Aún así, muchísimas por tu respuesta, se agradece bastante. Commented el 12 ago. 2023 a las 1:59

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.