$articulos= $conexion->prepare(
'SELECT SQL_CALC_ROWS * FROM articulos LIMIT $inicio, $postPorPaginas'
);
Cuando esta así dentro de php me aparece como si fuese una simple cadena aunque yo haya declarado la varible con sus valores
$articulos= $conexion->prepare(
'SELECT SQL_CALC_ROWS * FROM articulos LIMIT $inicio, $postPorPaginas'
);
Cuando esta así dentro de php me aparece como si fuese una simple cadena aunque yo haya declarado la varible con sus valores
Ese "prepare" que tenes puesto en tu codigo me hace pensar que estas usando PDO:
Por lo cual lo recomendable seria lo siguiente:
$articulos= $conexion->prepare("SELECT SQL_CALC_ROWS * FROM articulos LIMIT :inicio, :post_por_paginas");
$articulos->bindParam(':inicio', $inicio);
$articulos->bindParam(':post_por_paginas', $postPorPaginas);
$articulos->execute();
De esta manera ademas estas evitando sufrir inyección de SQL
En caso de que no estes usando PDO, te recomendaria que le des una mirada acá
Para agregar variables en cadenas de caracteres en PHP hay distintas formas como se indica en la documentación de PHP.
Documentación Cadenas de caracteres PHP
Para el ejemplo uso la forma Sintaxis compleja (llaves) que se basa en cadenas encerradas por "
(comillas dobles) y encerrando la variable en {}
llaves:
<?php
$inicio = 1;
$postPorPaginas = 10;
$articulos = $conexion->prepare("SELECT SQL_CALC_ROWS * FROM articulos LIMIT {$inicio}, {$postPorPaginas}");
De esta manera el editor de texto o IDE mostrará correctamente las variables dentro de la cadena de caracteres.
{}
para agregar una variable en comillas dobles también es heredoc, pero he realizado la debida corrección en la respuesta, gracias.
Commented
el 24 ene. 2018 a las 14:27
Es correcto lo que dice @LeonardeCabré en su respuesta.
Si estás usando PDO (o MySQLi), todas las consultas que manejen variables externas debes pasarlas a través de consultas preparadas para evitar la inyección de código malicioso.
Solamente quiero señalar que con PDO puedes simplificar el código, ahorrándote los bindParam
y pasando los parámetros como un array, en el execute
.
El Manual de PHP habla sobre esa segunda posibilidad, la cual, pienso, explotamos muy poco:
execute
Ejecuta la sentencia preparada. Si ésta incluía marcadores de parámetros, se debe:
llamar a
PDOStatement::bindParam()
y/oPDOStatement::bindValue()
para vincular variables o valores (respectivamente) a los marcadores de parámetros. Las variables vinculadas pasan su valor como entrada y reciben el valor de salida, si lo hubiera, de sus marcadores de parámetros asociadoso pasar un array de valores de parámetros de sólo entrada
❯ Fuente:
execute
en el Manual de PHP
Veamos dos ejemplos:
:nombre
$strSQL='SELECT SQL_CALC_ROWS * FROM articulos LIMIT :inicio, :postPorPaginas';
$articulos= $conexion->prepare($strSQL);
$arrParams=array(':inicio'=>$inicio, ':postPorPaginas'=>$postPorPaginas);
$articulos->execute($arrParams);
?
$strSQL='SELECT SQL_CALC_ROWS * FROM articulos LIMIT ?, ?';
$articulos= $conexion->prepare($strSQL);
$arrParams=array($inicio, $postPorPaginas);
$articulos->execute($arrParams);
Saber esto es particularmente útil, cuando tenemos que pasar muchos parámetros, o cuando los parámetros que intervienen en la consulta son dinámicos. Nos evitará invocar constantemente a bindParam
, nos facilitará el proceso de construir una consulta que dependa de varios factores. La consulta ejecutada así es igualmente segura que cuando usamos bindParam
.
Prueba a sustituir las comillas simples por comillas dobles para que PHP interprete las variables y utiliza comillas simples para encerrar cada una de las variables de la consulta.
$query = "SELECT SQL_CALC_ROWS * FROM articulos LIMIT ".$inicio.", ".$postPorPaginas;
$articulos = $conexion->prepare($query);
Creo que esto es lo correcto, si usas comillas simples tan sólo cámbialas por lo que te pongo con comillas dobles. Espero que te ayude.