El problema está en la instrucción SQL:
SELECT * FROM $tabla WHERE $columna = :$valor
Aquí estás usando como marcador el valor mismo que ha de ser usado como criterio, lo cual es un error.
Puedes resolverlo de dos maneras:
Cambiándolo por un marcador de nombre:
public function ModeloUsuarioIngresar($tabla,$columna,$valor){
$stmt=Conectar::conexion()->prepare("SELECT * FROM $tabla WHERE $columna = :valor");
$stmt->bindParam(":valor",$valor,PDO::PARAM_STR);
$stmt->execute();
return $stmt->fetch();
}
Eso es sólo un marcador de nombre y nada más, aunque le pongas :pepito
la consulta funcionará, porque sólo sirve para indicar que ahí va un dato, y que ese dato es lo que está en $valor
. De modo que si la variable se llama $valor
y al marcador le pones :pepito
funcionará igual, a condición de que pongas :pepito
en la instrucción SQL: WHERE $columna = :pepito
y en el bindParam(":pepito",$valor...)
. O sea, el marcador no tiene que llamarse como la variable necesariamente, aunque por motivos de claridad es aconsejable que se llamen iguales, lo que sí es obligatorio es que el marcador tenga el mismo nombre en ambos sitios.
Cambiándolo por un marcador de posición:
public function ModeloUsuarioIngresar($tabla,$columna,$valor){
$stmt=Conectar::conexion()->prepare("SELECT * FROM $tabla WHERE $columna = ?");
$stmt->bindParam(1,$valor,PDO::PARAM_STR);
$stmt->execute();
return $stmt->fetch();
}
Como puedes ver, lo que pongas después de =
en la consulta no tiene que ver absolutamente nada con el valor en sí... eso es lo que precisamente trata de evitar la consulta preparada, sustituyendo el dato real por un marcador, sea de :nombre
, sea de posición ?
Las dos maneras de hacerlo quedan bien explicadas en el Manual de PHP.
Por último, decir que con PDO puedes pasar los parámetros también en el execute
como un array asociativo si usas marcador de :nombre
, o como un array de valores simples si usas un marcador de posición (?
).
Marcador de nombre:
public function ModeloUsuarioIngresar($tabla,$columna,$valor){
$stmt=Conectar::conexion()->prepare("SELECT * FROM $tabla WHERE $columna = :valor");
$arrParams=array(":valor"=>$valor);
$stmt->execute( $arrParams );
return $stmt->fetch();
}
Marcador de posición:
public function ModeloUsuarioIngresar($tabla,$columna,$valor){
$stmt=Conectar::conexion()->prepare("SELECT * FROM $tabla WHERE $columna = ?");
$arrParams=array($valor);
$stmt->execute( $arrParams );
return $stmt->fetch();
}
ALGUNAS NOTAS DE SEGURIDAD
El uso de variables como $tabla
, $columna
, que pasan a ser parte
de la consulta, podría suponer en algunos casos un riesgo de seguridad
aunque se usen consultas preparadas.
Recomiendo dos cosas:
- Que apagues las preparaciones emuladas en tu conexión PDO
- Que implementes una lista blanca de tablas / columnas para dar más seguridad al código
El problema es que un usuario mal intencionado podría todavía
manipular esas dos variables para colarte una inyección SQL (yo hablé
ampliamente de esto en una respuesta aquí sobre el tema de la
inyección SQL en PHP).
That's all!