Realmente es lo mismo:
$base->query("DELETE FROM EJ_TABLA WHERE ID='$Id'");
Que hacer esto:
$base->prepare("DELETE FROM EJ_TABLA WHERE ID='$Id'")->execute();
?
Realmente es lo mismo:
$base->query("DELETE FROM EJ_TABLA WHERE ID='$Id'");
Que hacer esto:
$base->prepare("DELETE FROM EJ_TABLA WHERE ID='$Id'")->execute();
?
De la forma que lo estas usando, si, el resultado es el mismo.
PERO! No, no son y tampoco funcionan exactamente igual.
Las sentencias preparadas sirven evitar las inyección SQL escapando automáticamente los parámetros enlazados y al mismo tiempo "optimizar" la consulta si la misma se necesitara realizar en reiteradas oportunidades.
Supongamos el siguiente caso:
<?php
// CUIDADO: esto elimina la tabla EJ_TABLA
$Id = "1'; DROP TABLE EJ_TABLA; SELECT * FROM EJ_TABLA WHERE ID='1";
// El resultado de hacer
$base->query("DELETE FROM EJ_TABLA WHERE ID='$Id'");
// Seria equivalente a
$base->query("DELETE FROM EJ_TABLA WHERE ID='1'; DROP TABLE EJ_TABLA; SELECT * FROM EJ_TABLA WHERE ID='1'");
// Lo cual claramente no es el resultado esperado
//----------
// En cambio si se usa correctamente (y suponiendo que estas usando MySQLi)
$stmt = $base->prepare("DELETE FROM EJ_TABLA WHERE ID=?");
$stmt->bind_param('s', $Id);
$stmt->execute();
// Seria equivalente a
$base->prepare("DELETE FROM EJ_TABLA WHERE ID='1\'; DROP TABLE EJ_TABLA; SELECT * FROM EJ_TABLA WHERE ID=\'1'")->execute();
// Si prestas atención, las comillas fueron escapadas,
// se evito la inyección SQL y nada malo habrá pasado.
Cuando hacemos uso de las interfaces mysqli o PDO; podemos trabajar las
queries
de los modos siguientes
query()
. Cuando no necesitamos que nuestra consulta ejecute datos dinámicos; es decir el usuario no va a mandar variables que van a intervenir para mandar el resultado deseadoEJEMPLO
$data = $conexion->query("SELECT * FROM posts");
execute()
. Al momento que necesitamos que nuestro sistema responda a procesar consultas con datos dinámicos que el usuario manda en forma de variables; es necesario usar sentencias preparadas para procurar evitar ataques de inyección SQLEJEMPLO PDO
$id = 9;
$data = $conexion->prepare("SELECT * FROM posts WHERE id = :id");
$data->execute([":id" => $id]);
$resultado = $data->fetch(PDO_FETCH_ASSOC);
EJEMPLO MYSQLI
$id = 12;
$data = $conexion->prepare("SELECT * FROM posts WHERE id = ?");
$data->bind_param("i", $id);
$data->execute();
En cualquiera de los dos casos mysqli o PDO al momento de usar sentencias preparadas; necesitamos hacer uso de: marcadores de nombre
:nombre
o marcadores de posición?
para indicar los datos dinámicos que van a ser procesados en la consulta