3

Realmente es lo mismo:

$base->query("DELETE FROM EJ_TABLA WHERE ID='$Id'");

Que hacer esto:

$base->prepare("DELETE FROM EJ_TABLA WHERE ID='$Id'")->execute();

?

1

2 respuestas 2

4

De la forma que lo estas usando, si, el resultado es el mismo.

PERO! No, no son y tampoco funcionan exactamente igual.

Las sentencias preparadas sirven evitar las inyección SQL escapando automáticamente los parámetros enlazados y al mismo tiempo "optimizar" la consulta si la misma se necesitara realizar en reiteradas oportunidades.

Supongamos el siguiente caso:

<?php
// CUIDADO: esto elimina la tabla EJ_TABLA 
$Id = "1'; DROP TABLE EJ_TABLA; SELECT * FROM EJ_TABLA WHERE ID='1";

// El resultado de hacer
$base->query("DELETE FROM EJ_TABLA WHERE ID='$Id'");

// Seria equivalente a
$base->query("DELETE FROM EJ_TABLA WHERE ID='1'; DROP TABLE EJ_TABLA; SELECT * FROM EJ_TABLA WHERE ID='1'");

// Lo cual claramente no es el resultado esperado

//----------

// En cambio si se usa correctamente (y suponiendo que estas usando MySQLi)
$stmt = $base->prepare("DELETE FROM EJ_TABLA WHERE ID=?");
$stmt->bind_param('s', $Id);
$stmt->execute();

// Seria equivalente a 

$base->prepare("DELETE FROM EJ_TABLA WHERE ID='1\'; DROP TABLE EJ_TABLA; SELECT * FROM EJ_TABLA WHERE ID=\'1'")->execute();

// Si prestas atención, las comillas fueron escapadas, 
// se evito la inyección SQL y nada malo habrá pasado.
3

Cuando hacemos uso de las interfaces mysqli o PDO; podemos trabajar las queries de los modos siguientes

  1. query(). Cuando no necesitamos que nuestra consulta ejecute datos dinámicos; es decir el usuario no va a mandar variables que van a intervenir para mandar el resultado deseado

EJEMPLO

$data = $conexion->query("SELECT * FROM posts");
  1. execute(). Al momento que necesitamos que nuestro sistema responda a procesar consultas con datos dinámicos que el usuario manda en forma de variables; es necesario usar sentencias preparadas para procurar evitar ataques de inyección SQL

EJEMPLO PDO

$id = 9;
$data = $conexion->prepare("SELECT * FROM posts WHERE id = :id");
$data->execute([":id" => $id]);
$resultado = $data->fetch(PDO_FETCH_ASSOC);

EJEMPLO MYSQLI

$id = 12;
$data = $conexion->prepare("SELECT * FROM posts WHERE id = ?");
$data->bind_param("i", $id);
$data->execute();

En cualquiera de los dos casos mysqli o PDO al momento de usar sentencias preparadas; necesitamos hacer uso de: marcadores de nombre :nombre o marcadores de posición ? para indicar los datos dinámicos que van a ser procesados en la consulta

1
  • Excelente aclaración. GRACIAS! Commented el 21 ago. 2018 a las 16:18

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.