2

saludo me sale este error

Warning: PDOStatement::execute(): SQLSTATE[HY093]: Invalid parameter number: parameter was not defined in C:\xampp\htdocs\CotizaEcomerce\modelos\usuarios_modelo.php on line 17 bool(false).

Ya he analizado el código y solo se que es en la linea donde esta bind param, por espero me echen una mano. este es mi codigo de conexion de bd

class Conectar{



public static function conexion(){
    $conexion= new PDO("mysql:host=localhost;dbname=cursophp", "Tec", "123");
    $conexion->exec("SET NAMES utf8");//codigo para utilizar caracteres latinos
    return $conexion;
}

}

este es el código donde recibo variables para su consulta en la base de datos, meda error en la funcion bidnParam.

require_once "conexion.php";

class ModeloUsuarios{

public function ModeloUsuarioIngresar($tabla,$columna,$valor){
    $stmt=Conectar::conexion()->prepare("SELECT * FROM $tabla WHERE $columna = :$valor");
    $stmt->bindParam(":".$columna,$valor,PDO::PARAM_STR);
    $stmt->execute();
    return $stmt->fetch();
}

}

1 respuesta 1

2

El problema está en la instrucción SQL:

SELECT * FROM $tabla WHERE $columna = :$valor

Aquí estás usando como marcador el valor mismo que ha de ser usado como criterio, lo cual es un error.

Puedes resolverlo de dos maneras:

  1. Cambiándolo por un marcador de nombre:

    public function ModeloUsuarioIngresar($tabla,$columna,$valor){
        $stmt=Conectar::conexion()->prepare("SELECT * FROM $tabla WHERE $columna = :valor");
        $stmt->bindParam(":valor",$valor,PDO::PARAM_STR);
        $stmt->execute();
        return $stmt->fetch();
    }
    

    Eso es sólo un marcador de nombre y nada más, aunque le pongas :pepito la consulta funcionará, porque sólo sirve para indicar que ahí va un dato, y que ese dato es lo que está en $valor. De modo que si la variable se llama $valor y al marcador le pones :pepito funcionará igual, a condición de que pongas :pepito en la instrucción SQL: WHERE $columna = :pepito y en el bindParam(":pepito",$valor...). O sea, el marcador no tiene que llamarse como la variable necesariamente, aunque por motivos de claridad es aconsejable que se llamen iguales, lo que sí es obligatorio es que el marcador tenga el mismo nombre en ambos sitios.

  2. Cambiándolo por un marcador de posición:

    public function ModeloUsuarioIngresar($tabla,$columna,$valor){
        $stmt=Conectar::conexion()->prepare("SELECT * FROM $tabla WHERE $columna = ?");
        $stmt->bindParam(1,$valor,PDO::PARAM_STR);
        $stmt->execute();
        return $stmt->fetch();
    }
    

Como puedes ver, lo que pongas después de = en la consulta no tiene que ver absolutamente nada con el valor en sí... eso es lo que precisamente trata de evitar la consulta preparada, sustituyendo el dato real por un marcador, sea de :nombre, sea de posición ?

Las dos maneras de hacerlo quedan bien explicadas en el Manual de PHP.

Por último, decir que con PDO puedes pasar los parámetros también en el execute como un array asociativo si usas marcador de :nombre, o como un array de valores simples si usas un marcador de posición (?).

Marcador de nombre:

    public function ModeloUsuarioIngresar($tabla,$columna,$valor){
        $stmt=Conectar::conexion()->prepare("SELECT * FROM $tabla WHERE $columna = :valor");
        $arrParams=array(":valor"=>$valor);
        $stmt->execute( $arrParams );
        return $stmt->fetch();
    }

Marcador de posición:

    public function ModeloUsuarioIngresar($tabla,$columna,$valor){
        $stmt=Conectar::conexion()->prepare("SELECT * FROM $tabla WHERE $columna = ?");
        $arrParams=array($valor);
        $stmt->execute( $arrParams );
        return $stmt->fetch();
    }

ALGUNAS NOTAS DE SEGURIDAD

El uso de variables como $tabla, $columna, que pasan a ser parte de la consulta, podría suponer en algunos casos un riesgo de seguridad aunque se usen consultas preparadas.

Recomiendo dos cosas:

  1. Que apagues las preparaciones emuladas en tu conexión PDO
  2. Que implementes una lista blanca de tablas / columnas para dar más seguridad al código

El problema es que un usuario mal intencionado podría todavía manipular esas dos variables para colarte una inyección SQL (yo hablé ampliamente de esto en una respuesta aquí sobre el tema de la inyección SQL en PHP).

That's all!

1
  • Muchas Gracias sirvió problema resuelto, use la opción uno, gracias.
    – jose
    Commented el 30 ene. 2019 a las 21:00

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.