Atendiendo al consejo que me disteis en la pregunta que realicé hace unos días (Actualizar registros usando PDO) estoy cambiando el código para evitar inyección SQL con PHP.
La cuestión es que al ejecutar la página de actualización me sale el siguiente error:
PDOStatement::bindParam() expects at most 5 parameters, 15 given Mensaje: SQLSTATE[HY093]: Invalid parameter number: no parameters were bound
El código es el siguiente:
<?php
// Incluimos la clase conexión para crear una que herede de Conexion
require("conexion.php");
/*
* Clase modificar cliente que hereda las propiedades de la clase conexion
*/
class ModificarCliente extends Conexion {
// Constructor de la clase
function __construct(){
// Constructor de la super clase
parent::__construct();
}
// Método para guardar las modificaciones del cliente
public function ModificarCliente($datos) {
// try and catch para capturar errores
try {
// Comprobamos que los campos no están vacíos
if(empty($_POST)){
echo "Los campos están vacíos, no se puede actualizar.";
} else {
// Si no están vacíos guardamos en la variable sql la sentencia de actualización
$sql = "UPDATE clientes SET
nombre = ?,
apellidos = ?,
alias = ?,
telefono = ?,
movil = ?,
email = ?,
direccion = ?,
poblacion = ?,
provincia = ?,
codigopostal = ?,
tratamientocapilar = ?,
tratamientocorporal = ?,
observaciones = ?
WHERE idclientes = ?";
}
var_dump($datos);
// Guardamos la variable SQL y preparamos la consulta con la conexion de la base de datos
$query = $this->conexion_db->prepare($sql);
// Ligamos parámetros marcadores (?,?,?,... es decir, $datos[nombre], $datos[apellidos], ...)
// Especificación de tipos de caracteres
//i->la variable correspondiente es de tipo entero
//d->la variable correspondiente es de tipo double
//s->la variable correspondiente es de tipo string
//b->la variable correspondiente es un blob y se envía en paquetes
$query->bindParam(1, $datos['nombre'], PDO::PARAM_STR);
$query->bindParam(2, $datos['apellidos'], PDO::PARAM_STR);
$query->bindParam(3, $datos['alias'], PDO::PARAM_STR);
$query->bindParam(4, $datos['telefono'], PDO::PARAM_STR);
$query->bindParam(5, $datos['movil'], PDO::PARAM_STR);
$query->bindParam(6, $datos['email'], PDO::PARAM_STR);
$query->bindParam(7, $datos['direccion'], PDO::PARAM_STR);
$query->bindParam(8, $datos['poblacion'], PDO::PARAM_STR);
$query->bindParam(9, $datos['provincia'], PDO::PARAM_STR);
$query->bindParam(10, $datos['codigopostal'], PDO::PARAM_STR);
$query->bindParam(11, $datos['tratamientocapilar'], PDO::PARAM_STR);
$query->bindParam(12, $datos['tratamientocorporal'], PDO::PARAM_STR);
$query->bindParam(13, $datos['observaciones'], PDO::PARAM_STR);
$query->bindParam(14, $datos['idcliente'], PDO::PARAM_STR);
// Ejecutamos la consulta y la guardamos en un array
$query->execute();
// Guardamos el resultado en una variable
$resultado = $query;
// Cerramos la query
$query->closeCursor();
// Devolvemos los resultados a la función
return $resultado;
// Vaciamos el objeto
$this->conexion_db = null;
} catch (Exception $e) {
echo "Error en la ejecución de la consulta<br>";
echo "Mensaje: " . $e->GetMessage() . "<br>";
echo "Línea: " . $e->getLine();
}
}
}
?>
Ejecuto var_dump($datos)
y var_dump($resultado)
para comprobar que si se están tomando los datos correctamente y esto es lo que muestra:
array (size=16)
'idcliente' => string '10' (length=2)
'nombre' => string 'Alicia' (length=6)
'apellidos' => string 'a' (length=1)
'alias' => string 'Alicia' (length=6)
'telefono' => string '222' (length=3)
'movil' => string '3333' (length=4)
'email' => string '[email protected]' (length=7)
'direccion' => string 'a' (length=1)
'poblacion' => string 'a' (length=1)
'provincia' => string 'a' (length=1)
'codigopostal' => string '1' (length=1)
'tratamientocapilar' => string '1' (length=1)
'tratamientocorporal' => string '555' (length=3)
'observaciones' => string '444' (length=3)
'enviar' => string 'Salvar' (length=6)
'idclientes' => null
object(PDOStatement)[3]
public 'queryString' => string 'UPDATE clientes SET
nombre = ?,
apellidos = ?,
alias = ?,
telefono = ?,
movil = ?,
email = ?,
direccion = ?,
poblacion = ?,
provincia = ?,
codigopostal = ?,
tratamientocapilar = ?,
'... (length=646)
Editado tras incluir de forma correcta el método bindParam
He corregido el código para incluir de forma correcta bindParam para PDO, y no muestra ningún error, pero no actualiza los datos en la base de datos y no sé donde puede estar el fallo.
Con los datos de var_dump que podéis ver veo que el dato que uso para ir al registro idclientes
está como NULL
. El dato en la base de datos es de tipo entero y he probado a poner el texto como entero pero cuando hago un gettype
me dice que es tipo string
.
¿Puede venir el fallo de ahí?
Editado tras solucionarlo
Ya he dado con el problema, no estaba mirando correctamente al input idcliente
, lo tenía en plural en el marcador en la posición 14 del bindParam
.