1

Estoy recibiendo un JSON con los distintos parámetros de unos selects y quería darle seguridad a la consulta que hago, ya que me parece un poco precaria. La consulta puede o no cumplir todos los criterios de búsqueda, por eso me está costando hacer una consulta preparada. 1º recibo el JSON con los parametros.

include 'dbConection.php';
$conn = new conexion();
$conex = $conn->getConexion();

$params = json_decode(file_get_contents('php://input'), true);

$date1 = $params["date1"];
$date2 = $params["date2"];
$name = $params["nombre"];

$query = "SELECT id, date1, date2, nombre, direccion, peso FROM table WHERE peso >= 10::numeric";

if($params["date1"]!= ""){
  $query .= " and date1 >= '$date1'";
}
if($params["date2"]!=""){
  $query .= " and date2 <= '$date2'";
}
if($params["nombre"]!=""){
  $query .= " and nombre = '$nombre'";
}

#como no tenía muy claro como preparala, puse fuera el prepare
$statement = $conex->prepare( $query );

Después hago el json_encode y saco el fichero.

1
  • Pon un ejemplo de cómo debería quedar la consulta final.
    – A. Cedano
    Commented el 19 oct. 2021 a las 13:11

1 respuesta 1

1

Podrías hacer lo siguiente:

  1. Determinar el estado de los datos con un ternario, guardando referencia en variables.
  2. Verificar si cada variable es nula o no, para agregar una condición a la consulta SQL, pero usando marcadores de nombre y al mismo tiempo ir asociando a un array ($mParams) el marcador de nombre y el valor.
  3. Dado que PDO admite pasar arrays en el execute() puedes pasar $mParams en ese momento.

El código quedaría así:

include 'dbConection.php';
$conn = new conexion();
$conex = $conn->getConexion();
#Array para ir guardando los parámetros que pasaremos a execute
$mParams=array();

#Preferiremos un objeto a un array, por eso no pasamos true
#Y cambiamos el nombre para evitar confusiones (estos son datos, no parámetros en sí)
$mData = json_decode(file_get_contents('php://input'));

$date1 = !empty($mData->date1)  ? $mData->date1  : NULL;
$date2 = !empty($mData->date2)  ? $mData->date2  : NULL;
$name =  !empty($mData->nombre) ? $mData->nombre : NULL;


$query = "SELECT id, date1, date2, nombre, direccion, peso FROM table WHERE peso >= 10::numeric";

if($date1){
  $query .= " and date1 >= :date1";
  $mParams[":date1"] = $date1;
}
if($date2){
  $query .= " and date2 <= :date2";
  $mParams[":date2"] = $date2;
}
if($name){
  $query .= " and nombre = :nombre";
  $mParams[":nombre"] = $name;
}

#como no tenía muy claro como preparala, puse fuera el prepare
$statement = $conex->prepare( $query );

#Aquí pasamos $mParams
$statement->execute($mParams);

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.