Con los datos que vienen desde formularios yo uso una estrategia muy simple:
- Combinación de
empty
y de un operador ternario a través del cual asigno NULL
u otro valor a la variable.
- Según la lógica del código, validar las operaciones de base de datos o no, evaluando si las variables esenciales contienen datos.
Lo explico con un ejemplo:
Supongamos un formulario que envía tres campos para ser insertados en la base de datos: nombre, apellido, fecha_nacimiento
. De esos campos los primeros dos son esenciales (o sea, no pueden existir ningún registro sin nombre y sin apellido, pero sí puede existir sin fecha de nacimiento).
Primero recojo los valores del POST en variables:
$nombre=(empty($_POST["nombre"])) ? NULL : $_POST["nombre"];
$apellido=(empty($_POST["apellido"])) ? NULL : $_POST["apellido"];
$nombre=(empty($_POST["fecha"])) ? "" : $_POST["fecha"];
empty
tiene una ventaja, y es que si alguna de las variables no existe en el POST no llena el log de mensajes del tipo Undefined index
.
Mi estrategia ha consistido en asignar NULL
a mis dos variables esenciales en caso de no tener datos en POST. De ese modo, evalúo mediante un if
esas dos variables y no ejecuto la inserción por lo que dije antes: no pueden existir registros sin nombre ni apellido en la BD.
Entonces:
if($nombre && $apellido){
/*
*Aquí todo lo relativo a la conexión
*por cierto, usa nombres descriptivos
*si usas PDO, no llames a tu variable $mysqli
*El código no fallará, pero a PDO no le gustará eso :)
*Y cualquiera que lea tu código se le hará difícil entenderlo
*/
/*
*Una vez creada la conexión, no hay que andar escapando nada
*sino simplemente aplicar consultas preparadas
*/
$sql="INSERT INTRO tabla (nombre, apellido, fecha) VALUES (?,?,?)";
$stmt=$pdo->prepare($sql);
/*
*Aquí recogemos otro fruto de la estrategia aplicada antes
*nos olvidamos ya de POST y usamos nuestras variables
*/
$arrParams=array($nombre,$apellido,$fecha);
$stmt->excute($arrParams);
/*
*Aquí puedes si quieres imprimir un mensaje de filas insertadas
*Antes de todo esto a veces es bueno evaluar si el prepare y el execute
*fueron exitosos o no. No lo he hecho aquí porque ese es otro tema
*Omitiré también todo el código de cierre de recursos
*/
}else{
echo "No se pasaron datos en el nombre y el apellido. Es imposible hacer la insercion";
}
escape_string
de mysqli, pero no me funcionabindParam
o en elexecute
. Lo que sí deberías es usarisset
oempty
para obtener los valores del POST y evitar losUndefined index
, eso no tiene que ver con la seguridad, sino con buenas prácticas de programación. Y conviene que llames las cosas por su nombre:$pdo