0

Instale el programa XAMPP y sale este mensaje de error y hasta el momento no puedo solucionarlo

Warning: mysqli_stmt::bind_param(): Number of variables doesn't match number of parameters in prepared statement in D:\xampp\htdocs\server\enciclopedia\index.php on line 29

y el codigo que estoy utilizando es este:

$galNumb = 'SELECT COUNT(*) AS total FROM enciclopedia WHERE status = "1"';
    $stmt = $mysqli->prepare($galNumb);
    $stmt->bind_param('i', $pjInfo['total']);
    if ( ! $stmt->execute()) {
        trigger_error('The query execution failed; MySQL said ('.$stmt->errno.') '.$stmt->error, E_USER_ERROR);
    }
    $col1 = null;
    $stmt->bind_result($col1); // you can bind multiple colums in one function call

    while ($stmt->fetch()) { // for this query, there will only be one row, but it makes for a more complete example
        $echo .= '<div class="enciclopediarow"><a class="title" href="/enciclopedia/review">Review</a><br>'.PHP_EOL;
        $echo .= '<b>'.$col1.'</b> articulos aprovados</div>'.PHP_EOL;
    }
    $stmt->close(); // explicitly closing your statements is good practice

Especialmente en esta linea $stmt = $mysqli->prepare($galNumb);

Saludos

1 respuesta 1

0

bind_param() es una parte fundamental de lo que se conoce como consultas preparadas. Trabaja junto con prepare y sirve para evitar que una consulta en la que intervienen datos del exterior sea enviada a ejecución directamente. Los datos que vienen del exterior podrían ser modificados por usuarios mal intencionados para pasar a ejecución junto con una consulta normal una o más consultas dañinas. Esto es lo que se conoce como Inyección SQL.

Precisamente para lo que sirve bind_param es para recoger y pasar esos datos para que la base de datos los ejecute, verificando primero que no hay ningún código malicioso en ellos.

El error: Number of variables doesn't match number of parameters in prepared statement está indicando que en la instrucción SQL debe haber un parámetro que deberá ser pasado por bind_param(), dichos parámetros son representados en la cadena SQL por el signo de interrogación ?.

Cuando haces $stmt->bind_param('i', $pjInfo['total']);, PHP busca el signo ? en la cadena $galNumb, pero no lo encuentra.

Para usar bind_param()en tu consulta, debería ser algo más o menos así:

$galNumb = 'SELECT COUNT(*) AS total FROM enciclopedia WHERE status = ?;';
    $stmt = $mysqli->prepare($galNumb);
    $stmt->bind_param('i', $pjInfo['total']);

He supuesto que lo que quieres obtener es los datos en los que status es igual al dato recibido en $pjInfo['total'].

Verás que en la cadena SQL se ha puesto status = ?, significa que ese valor será pasado aparte usando precisamente bind_param().

De esa manera se evita que cualquier usuario introduzca consultas maliciosas lo cual es muy fácil si envías una consulta tal cual, con la instrucción SQL y los valores.

El tema de la Inyección SQL es un tema amplio, pero que requiere ser conocido, ya que atañe seriamente a la seguridad de los datos.

Te dejo algunos enlaces:

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.