2
$articulos= $conexion->prepare(
          'SELECT SQL_CALC_ROWS * FROM  articulos LIMIT $inicio, $postPorPaginas'
);

Cuando esta así dentro de php me aparece como si fuese una simple cadena aunque yo haya declarado la varible con sus valores

2
  • Dices que las variables te aparecen como parte de la cadena y no como las variables en si?
    – JCAguilera
    el 23 ene. 2018 a las 19:15
  • Eso es porque las comillas simple no toman el valor de las variables para ellas todo es texto en cambio las comillas dobles si toman el valor de las variables y tu estas usando comillas simples en ves de dobles
    – Kevin
    el 23 ene. 2018 a las 19:17

5 respuestas 5

11

Ese "prepare" que tenes puesto en tu codigo me hace pensar que estas usando PDO:

Por lo cual lo recomendable seria lo siguiente:

$articulos= $conexion->prepare("SELECT SQL_CALC_ROWS * FROM articulos LIMIT :inicio, :post_por_paginas");

$articulos->bindParam(':inicio', $inicio);
$articulos->bindParam(':post_por_paginas', $postPorPaginas);

$articulos->execute();

De esta manera ademas estas evitando sufrir inyección de SQL

En caso de que no estes usando PDO, te recomendaria que le des una mirada acá

1
  • MUCHAS GRACIAS!!!! por tu aporte el 23 ene. 2018 a las 19:33
2

Para agregar variables en cadenas de caracteres en PHP hay distintas formas como se indica en la documentación de PHP.

Documentación Cadenas de caracteres PHP

Para el ejemplo uso la forma Sintaxis compleja (llaves) que se basa en cadenas encerradas por " (comillas dobles) y encerrando la variable en {} llaves:

<?php

$inicio = 1;
$postPorPaginas = 10;

$articulos = $conexion->prepare("SELECT SQL_CALC_ROWS * FROM articulos LIMIT {$inicio}, {$postPorPaginas}");

De esta manera el editor de texto o IDE mostrará correctamente las variables dentro de la cadena de caracteres.

3
  • Eso es la interpolación de strings en comillas dobles. heredoc es otra sintaxis diferente: <<<EJEMPLO texto EJEMPLO;
    – Mariano
    el 24 ene. 2018 a las 12:59
  • @Mariano gracias por la aclaración, realmente en la documentación de PHP indica que cuando se usan {} para agregar una variable en comillas dobles también es heredoc, pero he realizado la debida corrección en la respuesta, gracias. el 24 ene. 2018 a las 14:27
  • 1
    No encontré dónde... Fijate que lo llama Sintaxis compleja (llaves)
    – Mariano
    el 24 ene. 2018 a las 14:35
2

Es correcto lo que dice @LeonardeCabré en su respuesta.

Si estás usando PDO (o MySQLi), todas las consultas que manejen variables externas debes pasarlas a través de consultas preparadas para evitar la inyección de código malicioso.

Solamente quiero señalar que con PDO puedes simplificar el código, ahorrándote los bindParam y pasando los parámetros como un array, en el execute.

El Manual de PHP habla sobre esa segunda posibilidad, la cual, pienso, explotamos muy poco:

execute

Ejecuta la sentencia preparada. Si ésta incluía marcadores de parámetros, se debe:

  • llamar a PDOStatement::bindParam() y/o PDOStatement::bindValue() para vincular variables o valores (respectivamente) a los marcadores de parámetros. Las variables vinculadas pasan su valor como entrada y reciben el valor de salida, si lo hubiera, de sus marcadores de parámetros asociados

  • o pasar un array de valores de parámetros de sólo entrada

❯ Fuente: execute en el Manual de PHP

Veamos dos ejemplos:

Con marcadores de :nombre

$strSQL='SELECT SQL_CALC_ROWS * FROM  articulos LIMIT :inicio, :postPorPaginas';
$articulos= $conexion->prepare($strSQL);
$arrParams=array(':inicio'=>$inicio, ':postPorPaginas'=>$postPorPaginas);
$articulos->execute($arrParams);

Con marcadores de posición ?

$strSQL='SELECT SQL_CALC_ROWS * FROM  articulos LIMIT ?, ?';
$articulos= $conexion->prepare($strSQL);
$arrParams=array($inicio, $postPorPaginas);
$articulos->execute($arrParams);

Saber esto es particularmente útil, cuando tenemos que pasar muchos parámetros, o cuando los parámetros que intervienen en la consulta son dinámicos. Nos evitará invocar constantemente a bindParam, nos facilitará el proceso de construir una consulta que dependa de varios factores. La consulta ejecutada así es igualmente segura que cuando usamos bindParam.

0

Prueba a sustituir las comillas simples por comillas dobles para que PHP interprete las variables y utiliza comillas simples para encerrar cada una de las variables de la consulta.

1
0
$query = "SELECT SQL_CALC_ROWS * FROM articulos LIMIT ".$inicio.", ".$postPorPaginas;
$articulos = $conexion->prepare($query);

Creo que esto es lo correcto, si usas comillas simples tan sólo cámbialas por lo que te pongo con comillas dobles. Espero que te ayude.

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.