0

me encuentro creando un login con pdo (soy nuevo en esto) y yo siempre utilicé éste método

$GenerarConsulta = $pdo->prepare("SELECT * FROM Usuarios WHERE (email=? OR name=?) AND password=? LIMIT 1");
$data = [$Email, $Name, $Password];

try {
    $pdo->beginTransaction();
    $GenerarConsulta->execute($data);
    $pdo->commit();
} catch (Exception $e) {
    $pdo->rollback();
    throw $e;
}

Y hoy me encontré con el siguiente método

$GenerarConsulta = $pdo->prepare("SELECT * FROM Usuarios WHERE (email='$Email' OR name='$Name') AND password='$Password' LIMIT 1");
$GenerarConsulta->bindParam(':email', $Email, PDO::PARAM_STR);
$GenerarConsulta->bindParam(':name', $Name, PDO::PARAM_STR);
$GenerarConsulta->bindParam(':password', $Password, PDO::PARAM_STR);
$GenerarConsulta->execute();

Me gustaría saber cual de los dos métodos es más seguro (segun mi poco conocimiento es mejor el primer método porque al no poner las variable directamente en la consulta es mas complicado de hacer una inyeccción) ¿me podrían decir si estoy en lo correcto?

Agradezco su tiempo y ayuda de antemano

3
  • Ambos métodos son seguros, el problema es que en el segundo colocaron las variables directamente en la consulta, haciéndola insegura y no tiene sentido el uso de bindParam(), a menos que la consulta fuera así: SELECT * FROM Usuarios WHERE (email=:email OR name=:name) AND password=:password LIMIT 1
    – Triby
    el 19 sep. 2020 a las 16:10
  • En teoría, bindParam sería más seguro porque siempre especificas el tipo de dato, mientras que con execute($arreglo) todos los valores son tratados como cadena.
    – Triby
    el 19 sep. 2020 a las 16:13
  • Como extra te recomiendo esta guía que me compartió @A.Cedano y esta excelente phpdelusions.net/pdo#prepared
    – BetaM
    el 19 sep. 2020 a las 16:16

0

Examina otras preguntas con la etiqueta o formula tu propia pregunta.