1

Atendiendo al consejo que me disteis en la pregunta que realicé hace unos días (Actualizar registros usando PDO) estoy cambiando el código para evitar inyección SQL con PHP.

La cuestión es que al ejecutar la página de actualización me sale el siguiente error:

PDOStatement::bindParam() expects at most 5 parameters, 15 given Mensaje: SQLSTATE[HY093]: Invalid parameter number: no parameters were bound

El código es el siguiente:

<?php

    // Incluimos la clase conexión para crear una que herede de Conexion
    require("conexion.php");

    /*
    * Clase modificar cliente que hereda las propiedades de la clase conexion
    */
   class ModificarCliente extends Conexion {

       // Constructor de la clase
       function __construct(){

           // Constructor de la super clase
           parent::__construct();

       }

    // Método para guardar las modificaciones del cliente
    public function ModificarCliente($datos) {

       // try and catch para capturar errores
       try {

           // Comprobamos que los campos no están vacíos
           if(empty($_POST)){

               echo "Los campos están vacíos, no se puede actualizar.";

           } else {

                // Si no están vacíos guardamos en la variable sql la sentencia de actualización
                $sql = "UPDATE clientes SET
                            nombre = ?,
                            apellidos = ?,
                            alias = ?,
                            telefono = ?,
                            movil = ?,
                            email = ?,
                            direccion = ?,
                            poblacion = ?,
                            provincia = ?,
                            codigopostal = ?,
                            tratamientocapilar = ?,
                            tratamientocorporal = ?,
                            observaciones = ?
                        WHERE idclientes = ?";

           }

            var_dump($datos);

            // Guardamos la variable SQL y preparamos la consulta con la conexion de la base de datos
            $query = $this->conexion_db->prepare($sql);

            // Ligamos parámetros marcadores (?,?,?,... es decir, $datos[nombre], $datos[apellidos], ...)
            // Especificación de tipos de caracteres
            //i->la variable correspondiente es de tipo entero
            //d->la variable correspondiente es de tipo double
            //s->la variable correspondiente es de tipo string
            //b->la variable correspondiente es un blob y se envía en paquetes

        $query->bindParam(1, $datos['nombre'], PDO::PARAM_STR);
        $query->bindParam(2, $datos['apellidos'], PDO::PARAM_STR);
        $query->bindParam(3, $datos['alias'], PDO::PARAM_STR);
        $query->bindParam(4, $datos['telefono'], PDO::PARAM_STR);
        $query->bindParam(5, $datos['movil'], PDO::PARAM_STR);
        $query->bindParam(6, $datos['email'], PDO::PARAM_STR);
        $query->bindParam(7, $datos['direccion'], PDO::PARAM_STR);
        $query->bindParam(8, $datos['poblacion'], PDO::PARAM_STR);
        $query->bindParam(9, $datos['provincia'], PDO::PARAM_STR);
        $query->bindParam(10, $datos['codigopostal'], PDO::PARAM_STR);
        $query->bindParam(11, $datos['tratamientocapilar'], PDO::PARAM_STR);
        $query->bindParam(12, $datos['tratamientocorporal'], PDO::PARAM_STR);
        $query->bindParam(13, $datos['observaciones'], PDO::PARAM_STR);
        $query->bindParam(14, $datos['idcliente'], PDO::PARAM_STR);

        // Ejecutamos la consulta y la guardamos en un array
        $query->execute();

            // Guardamos el resultado en una variable
            $resultado = $query;

            // Cerramos la query
            $query->closeCursor();

            // Devolvemos los resultados a la función
            return $resultado;

            // Vaciamos el objeto
            $this->conexion_db = null;

         } catch (Exception $e) {

           echo "Error en la ejecución de la consulta<br>";
           echo "Mensaje: " . $e->GetMessage() . "<br>";
           echo "Línea: " . $e->getLine();

       }

    }
}
?>

Ejecuto var_dump($datos) y var_dump($resultado) para comprobar que si se están tomando los datos correctamente y esto es lo que muestra:

array (size=16)
  'idcliente' => string '10' (length=2)
  'nombre' => string 'Alicia' (length=6)
  'apellidos' => string 'a' (length=1)
  'alias' => string 'Alicia' (length=6)
  'telefono' => string '222' (length=3)
  'movil' => string '3333' (length=4)
  'email' => string '[email protected]' (length=7)
  'direccion' => string 'a' (length=1)
  'poblacion' => string 'a' (length=1)
  'provincia' => string 'a' (length=1)
  'codigopostal' => string '1' (length=1)
  'tratamientocapilar' => string '1' (length=1)
  'tratamientocorporal' => string '555' (length=3)
  'observaciones' => string '444' (length=3)
  'enviar' => string 'Salvar' (length=6)
  'idclientes' => null

object(PDOStatement)[3]
  public 'queryString' => string 'UPDATE clientes SET

                            nombre = ?,

                            apellidos = ?,

                            alias = ?,

                            telefono = ?,

                            movil = ?,

                            email = ?,

                            direccion = ?,

                            poblacion = ?,

                            provincia = ?,

                            codigopostal = ?,

                            tratamientocapilar = ?,

           '... (length=646)

Editado tras incluir de forma correcta el método bindParam

He corregido el código para incluir de forma correcta bindParam para PDO, y no muestra ningún error, pero no actualiza los datos en la base de datos y no sé donde puede estar el fallo.

Con los datos de var_dump que podéis ver veo que el dato que uso para ir al registro idclientes está como NULL. El dato en la base de datos es de tipo entero y he probado a poner el texto como entero pero cuando hago un gettype me dice que es tipo string.

¿Puede venir el fallo de ahí?

Editado tras solucionarlo

Ya he dado con el problema, no estaba mirando correctamente al input idcliente, lo tenía en plural en el marcador en la posición 14 del bindParam.

3 respuestas 3

2

PDOStatement::bindParam() no puede recibir sss... como parámetros.

Esta sintaxis se usa en las preparaciones de mysqli.

Lo que puedes hacer es cambiar tu $query->bindParam( ... ) a:

$query->bindParam(1, $datos['nombre'], PDO::PARAM_STR);
$query->bindParam(2, $datos['apellidos'], PDO::PARAM_STR);
$query->bindParam(3, $datos['alias'], PDO::PARAM_STR);
$query->bindParam(4, $datos['telefono'], PDO::PARAM_STR);
$query->bindParam(5, $datos['nombre'], PDO::PARAM_STR);
$query->bindParam(6, $datos['movil'], PDO::PARAM_STR);
$query->bindParam(7, $datos['direccion'], PDO::PARAM_STR);
$query->bindParam(8, $datos['poblacion'], PDO::PARAM_STR);
$query->bindParam(9, $datos['provincia'], PDO::PARAM_STR);
$query->bindParam(10, $datos['codigopostal'], PDO::PARAM_STR);
$query->bindParam(11, $datos['tratamientocapilar'], PDO::PARAM_STR);
$query->bindParam(12, $datos['tratamientocorporal'], PDO::PARAM_STR);
$query->bindParam(13, $datos['observaciones'], PDO::PARAM_STR);
$query->bindParam(14, $datos['idclientes'], PDO::PARAM_STR);
3
  • He modificado el código tal y como me has comentado pero ahora no devuelve ningún error y en teoría debería actualizar los datos pero no lo hace. He editado la pregunta con los últimos cambios.
    – David
    Commented el 29 dic. 2016 a las 19:22
  • 1
    @David - Prueba cambiar al idcliente de PDO::PARAM_STR a PDO::PARAM_INT Commented el 29 dic. 2016 a las 19:28
  • Acabo de dar, creo, con el problema. También he cambiado a entero esa posición @aldanux. Y ha modificado bien.
    – David
    Commented el 29 dic. 2016 a las 19:29
1

El error te está indicando lo que es incorrecto:

PDOStatement::bindParam() expects at most 5 parameters, 15 given

Le estás pasando 15 parámetros cuando le deberías de pasar únicamente 5.

Desde la documentación de PHP, estos son los parámetros que deberías de pasarle:

  • parameter

    El identificador del parámetro. Para sentencias preparadas que usen parámetros de sustición con nombre, esto será un nombre de parámetro con la forma :nombre. Para sentencias preparadas que usen parámetros de sustición de signos de interrogación, esto será la posición índice-1 del parámetro.

  • variable

    Nombre de la variable de PHP a vincular al parámetro de la sentencia SQL.

  • data_type

    El tipo de datos explícito para el parámetro, usando las constantes PDO::PARAM_*. Para devolver un parámetro INOUT desde un procedimiento almacenado, se ha de usar el operador OR a nivel de bits para establecer los bits de PDO::PARAM_INPUT_OUTPUT para el parámetro data_type.

  • length

    La longitud del tipo de datos. Para indicar que el parámetro es un parámetro OUT de un procedimiento almacenado, se debe establecer explícitamente la longitud.

  • driver_options

1

Puedes usar la sintaxis :variable y a PDOStatement::execute pasarle un arreglo asociativo, por ejemplo:

$gsent = $gbd->prepare('SELECT name, colour, calories
FROM fruit
WHERE calories < :calories AND colour = :colour');
$gsent->execute(array(':calories' => $calorías, ':colour' => $color));

Aplicado a tú código:

$sql = "UPDATE clientes SET
          nombre = :nombre,
          apellidos = :apellidos,
          alias = :alias,
          telefono = :telefono,
          movil = :movil,
          email = :email,
          direccion = :direccion,
          poblacion = :poblacion,
          provincia = :provincia,
          codigopostal = :codigopostal,
          tratamientocapilar = :tratamientocapilar,
          tratamientocorporal = :tratamientocorporal,
          observaciones = :observaciones
          WHERE idclientes = :idcliente";

 // ...codigo...

 $query = $this->conexion_db->prepare($sql);

 // Eliminamos el valor que esta de mas
 unset($datos['enviar']);

 // Pasamos el arreglo con exactamente los datos a mapearse
 $query->execute($datos);

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.