1

Tengo una duda al usar bindValue, no me vincula el valor de la variable al signo colocado en la consulta. Les dejo el código; espero que puedan ayudarme

<?php

    $pdo = new \PDO('sqlite::memory:', null, null);

    $pdo->setAttribute(\PDO::ATTR_ERRMODE, \PDO::ERRMODE_EXCEPTION);
    $pdo->setAttribute(PDO::ATTR_EMULATE_PREPARES, true);
    $error = false;
    $crearTabla = "CREATE TABLE IF NOT EXISTS usuarios (`usuario` STRING NULL, `password` STRING NULL,`email` STRING NULL)";
    try{
        $pdo->prepare($crearTabla)->execute();
        echo "Tabla Creada\n";
    } catch (PDOException $e) {
        echo $e->getMessage();
    }
    $insertarUsuario = "INSERT INTO usuarios (usuario,password,email) VALUES ('Matias','yopassword','[email protected]')";
    try{
        $pdo->prepare($insertarUsuario)->execute();
        echo "Usuario Insertado \n";
    }catch(PDOException $e){
        echo "Error al insertar el usuario \n".$e->getMessage();
        $error = true;
    }
    if (!$error) {
        $columna = 'usuario';
        $consulta = 'SELECT ? FROM usuarios';
        $stm = $pdo->prepare($consulta);
        $stm->bindValue(1,'usuario', PDO::PARAM_STR); 
        $stm->execute();
        $data = $stm->fetchAll(PDO::FETCH_OBJ);
        echo "Datos".json_encode($data[0]);
    }

1 respuesta 1

0

Me parece que el Manual de PHP no dice esto de forma explícita en ninguna parte, lo cual es un agujero de documentación en el mismo... lo cierto es que las consultas preparadas son para pasar valores, no para pasar nombres de columnas o de tablas como intentas hacer.

El motivo es claro: esto no serviría de nada, porque lo que hacen las consultas preparadas es proteger contra la inyección de código a través de los valores de las columnas, no a través de los nombres de las mismas. Desde un punto de vista objetivo, esta consulta: SELECT usuario FROM usuarios no tiene ningún peligro desde el punto de vista de la seguridad.

Si quieres controlar las columnas/tablas que se pueden consultar, lo que puedes hacer es crear una lista blanca de columnas/tablas permitidas y comparar si las mismas están dentro de esa lista, pero no usar consultas preparadas para ello, porque esa no es su finalidad.


Fuentes de referencia

1
  • muchas gracias no habia leido eso saludos
    – Matias
    el 15 mar. 2018 a las 11:38

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.