1

estoy haciendo una consulta SQL en PHP utilizando MVC. Estoy haciendo una función la cual tiene un parámetro y este se utiliza en la consulta SQL. Este es el código y hasta este punto me funciona bien.

public function miFuncion($u){
  $stm = $this->pdo->prepare("SELECT T.tare_id AS tarea_id, TI.tick_codi AS codigo, TI.tick_nom AS nombre_ticket, PI.piez_nom AS pieza, T.num_pieza AS cantidad_piezas, PR.prod_nom AS producto,concat(US.usua_nom,' ',US.usua_ape) AS usuario , ES.esta_nom AS estado, EM.empr_nom AS cuenta, T.tare_asig AS fecha_de_asignacion, T.tare_entr AS fecha_de_entrega, MAX(HI.hist_cod) AS cantidad_ajustes
                                    FROM tarea T
                                    INNER JOIN pieza PI ON T.piez_id = PI.piez_id
                                    INNER JOIN producto PR ON T.prod_id = PR.prod_id
                                    INNER JOIN usuario US ON T.user_id = US.usua_id
                                    INNER JOIN ticket TI ON T.tick_id = TI.tick_id 
                                    INNER JOIN estados ES ON T.esta_id = ES.esta_id
                                    INNER JOIN empresa EM ON TI.empr_id = EM.empr_id
                                    INNER JOIN historial HI ON T.tare_id = HI.tare_id
                                    WHERE T.user_id = 11
                                    GROUP BY T.tare_id
                                    ORDER BY tarea_id ASC");
  $stm->execute();
  return $stm->fetchAll(PDO::FETCH_OBJ);

}

Cuando reemplazo en la linea del WHERE el valor de 11 por la variable $u Este me arroja el siguiente error

SQLSTATE[42000]: Syntax error or access violation: 1064 You have an error in your SQL syntax; check the manual that corresponds to your MariaDB server version for the right syntax to use near 'GROUP BY T.tare_id ORDER BY tarea_id ASC' at line 11

El valor del parámetro me esta llegando a la función, lo he comprobado con un ´echo´. Pero al reemplazar el valor del 11 por la variable $u la consulta ya no me funciona.

1
  • Tu variable $u, la cual nunca deberías pasar directamente a una consulta, produce una instrucción SQL extraña, errónea... podría ser incluso un intento de inyección de código malicioso mal elaborado para suerte tuya. Haz lo que te dice @shadow: usa consultas preparadas, cambiando WHERE T.user_id = $u por un marcador y pasándolo con bindParam o directamente en el execute. Para futuras preguntas, pon el código que falla, no el que funciona. Quizá haya más errores.
    – A. Cedano
    el 4 ene. 2019 a las 19:44

2 respuestas 2

2

Si estas usando PDO no es correcto y si muy inseguro que pases la variable de manera directa a la query, en su lugar debes pasar el valor como un marcador de nombre en esta forma :valor

Entonces debes tenerlo así, por ejemplo:

$u = 10;

Ahora dentro de tu consulta mandalo llamar así:

$stm = $this->pdo->prepare("SELECT T.tare_id AS tarea_id, TI.tick_codi AS codigo, TI.tick_nom AS nombre_ticket, PI.piez_nom AS pieza, T.num_pieza AS cantidad_piezas, PR.prod_nom AS producto,concat(US.usua_nom,' ',US.usua_ape) AS usuario , ES.esta_nom AS estado, EM.empr_nom AS cuenta, T.tare_asig AS fecha_de_asignacion, T.tare_entr AS fecha_de_entrega, MAX(HI.hist_cod) AS cantidad_ajustes
                                    FROM tarea T
                                    INNER JOIN pieza PI ON T.piez_id = PI.piez_id
                                    INNER JOIN producto PR ON T.prod_id = PR.prod_id
                                    INNER JOIN usuario US ON T.user_id = US.usua_id
                                    INNER JOIN ticket TI ON T.tick_id = TI.tick_id 
                                    INNER JOIN estados ES ON T.esta_id = ES.esta_id
                                    INNER JOIN empresa EM ON TI.empr_id = EM.empr_id
                                    INNER JOIN historial HI ON T.tare_id = HI.tare_id
                                    WHERE T.user_id = :u
                                    GROUP BY T.tare_id
                                    ORDER BY tarea_id ASC");

Posterior usamos bindParam() para indicarle el valor por el cual debe sustituir el marcador de nombre, de este modo

$stm->bindParam(':u', $u);

De este modo ayudas a minimizar los ataques de inyección SQL pues no pasas directo el valor que llega por parte del usuario a tu consulta SQL

Opcionalmente puedes indicar en el bindParam() el tipo de dato que se espera recibir, teniendo opciones como:

PDO::PARAM_INT Para valores enteros

PDO::PARAM_STR Para valores de tipo cadena de texto

Quedando de este modo

$stm->bindParam(':u', $u, PDO::PARAM_INT);

1
  1. Este error 1064 se presenta por varias causas, entre ellas y mas común es por usar una palabra reservada.
  2. También por usar mal un comando como escribir mal FRON (cuando querías escribir FROM) ó UDDATE (cuando querías escribir UPDATE), pero si te funciona con el 11 quemado, este no es el caso.

Prueba renombrando el parámetro con: T.user_id = $id_user ó en comillas simples T.user_id = '$id_user'

4
  • que es FRON ? además del hecho de que recomendarle pasar valores dinámicos a la consulta es una mala práctica de seguridad
    – user75901
    el 4 ene. 2019 a las 16:11
  • Estoy dando ejemplo de escribir mal los comando, mira UDDATE tambien esta mal, son ejemplos solamente.
    – YoGo
    el 4 ene. 2019 a las 16:48
  • @YoGo he actualizado su respuesta para dejar mas claro a qué te referías con FRON y UDDATE. Como recomendación, cuando coloques "valores incorrectos" explica cuál o cuáles serían los valores correctos. el 4 ene. 2019 a las 17:40
  • Recomendaría que evites escribir respuestas basadas en suposiciones. El OP ha mostrado que en su código ha escrito FROM correctamente, no sé entonces por qué inventas lo del FRON o lo del UDDATE. En el sitio los esfuerzos son constantes porque quienes preguntan se basen en situaciones reales de su código, si eso es en las preguntas, no te digo nada de las respuestas. Evita suposiciones, por la buena calidad del sitio y para que la ayuda sea específica y eficaz.
    – A. Cedano
    el 4 ene. 2019 a las 19:47

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.