me encuentro creando un login con pdo (soy nuevo en esto) y yo siempre utilicé éste método
$GenerarConsulta = $pdo->prepare("SELECT * FROM Usuarios WHERE (email=? OR name=?) AND password=? LIMIT 1");
$data = [$Email, $Name, $Password];
try {
$pdo->beginTransaction();
$GenerarConsulta->execute($data);
$pdo->commit();
} catch (Exception $e) {
$pdo->rollback();
throw $e;
}
Y hoy me encontré con el siguiente método
$GenerarConsulta = $pdo->prepare("SELECT * FROM Usuarios WHERE (email='$Email' OR name='$Name') AND password='$Password' LIMIT 1");
$GenerarConsulta->bindParam(':email', $Email, PDO::PARAM_STR);
$GenerarConsulta->bindParam(':name', $Name, PDO::PARAM_STR);
$GenerarConsulta->bindParam(':password', $Password, PDO::PARAM_STR);
$GenerarConsulta->execute();
Me gustaría saber cual de los dos métodos es más seguro (segun mi poco conocimiento es mejor el primer método porque al no poner las variable directamente en la consulta es mas complicado de hacer una inyeccción) ¿me podrían decir si estoy en lo correcto?
Agradezco su tiempo y ayuda de antemano
bindParam()
, a menos que la consulta fuera así:SELECT * FROM Usuarios WHERE (email=:email OR name=:name) AND password=:password LIMIT 1
bindParam
sería más seguro porque siempre especificas el tipo de dato, mientras que conexecute($arreglo)
todos los valores son tratados como cadena.