1

Estoy intentando conectarme a mi BD con la extensión PDO pero aun soy nuevo utilizándolo no le entiendo del todo, no se como debería ser su sintaxis.

En mi código subir_archivo.php me marca que en esta línea es la que no me deja conectarme:

$inserta="insert into entregable_facturacion values ". implode(",", $data);

$db=Db::conectar();
$insert=$db->prepare($inserta);
$insert->execute();

Y este es el código de mi conexión.php:

<?php
class  Db{
   private static $conexion=NULL;
   private function __construct (){}   
   public static function conectar(){
       $pdo_options[PDO::ATTR_ERRMODE]=PDO::ERRMODE_EXCEPTION;
       self::$conexion= new PDO('mysql:host=localhost;dbname=bdgmg','root','',$pdo_options);
       return self::$conexion;
    }   
}
?>

Ya lo revise varias veces pero... no encuentro la lógica, les comparto el error que me da:

Fatal error: Uncaught PDOException: SQLSTATE[42000]: Syntax error or access violation: 1064 You have an error in your SQL syntax; check the manual that corresponds to your MariaDB server version for the right syntax to use near 'ANTONIO RODRIGUEZ,SEMANAL,"$2,993.00","$1,245.40","$1,747.60","$2,993.00", ...' at line 1 in C:\xampp\htdocs\ejemplogmg\subir_archivo.php:39 Stack trace: #0 C:\xampp\htdocs\ejemplogmg\subir_archivo.php(39): PDOStatement->execute() #1 {main} thrown in C:\xampp\htdocs\ejemplogmg\subir_archivo.php on line 39

Cualquier ayuda se los agradecería mucho por favor :D

1 respuesta 1

1

Al hacer implode(",", $data) se estaría creando una sentencia con error de sintaxis, como muestra el mensaje de error:

right syntax to use near 'ANTONIO RODRIGUEZ,SEMANAL,"$2,993.00","$1,245.40","$1,747.60","$2,993.00", 

Una consulta de inserción correcta debería tener cada valor de tipo CHAR, VARCHAR o TEXT rodeado de comillas simples, algo así:

'ANTONIO RODRIGUEZ', 'SEMANAL', '$2,993.00', '$1,245.40', '$1,747.60', '$2,993.00', 

Si en $data hubiera valores limpios, sin comillas y demás historias, una posible solución (aunque no la mejor por lo que diré en las recomendaciones), sería hacer algo así:

$toInsert = "'" . implode("','", $data) . "'";
$inserta="insert into entregable_facturacion values $toInsert";

Esto haría que cada valor de $data se rodee de comillas simples y con suerte podría funcionar. Pero tiene dos problemas:

  1. Para datos numéricos, boleeanos o NULL los valores no tienen que ir entre comillas simples. En el caso de los números el manejador los convierte sin problemas, pero en el caso de NULL y quizá en el caso de boleeanos, podría estar insertando la cadena NULL o la cadena true o false, que no es lo mismo.

  2. Pero el problema mayor de todo esto es que ejecutar un INSERT directamente usando datos externos te expone a ataques de Inyección SQL, que podrían tener gravísimas consecuencias.

Recomendaciones

La verdadera solución para tu caso pasa por una revisión/normalización de lo que hay en $data y por una posible redefinición de algunas columnas de tu tabla.

Y es que por un lado, se puede ver una pésima práctica que consistiría en intentar guardar valores monetarios con un símbolo de moneda ¿? me refiero a esto por ejemplo: "$2,993.00" ¿De qué tipo son esas columnas? ¿Por qué incluyes el símbolo $? El símbolo de la moneda es un dato relativo, que depende del contexto y que deberías aplicar en el contexto, nunca en los datos en sí mismos. ¿Por qué? Porque hacer esto te hará difícil realizar operaciones matemáticas o lógicas con el dato, como sería sumar varias columnas, sacar promedios, comparar cuál es mayor o menor. En consecuencia esa columna debería ser del tipo DECIMAL y los datos que insertes en ella deberían ser: 2993.00, 1245.40, 1747.60 NÓTESE que los datos no están rodeados por comillas simples y que no hay separador de miles, porque todo eso es relativo, es parte del contexto y debe formatearse en el contexto, no en los datos.

Por otro lado, existe la pésima y peligrosa práctica de insertar datos directamente, abriendo el código a riesgo de Inyección SQL como ya mencioné antes. Para resolverlo, tendrías que escribir una consulta preparada y pasar cada valor aparte. Existen varias formas de hacerlo, pero antes de eso convendría normalizar lo dicho en el punto anterior y además preparar mejor lo que estás mandando en $data, pues otra de las cosas que se aprecian en el mensaje de error es que algunos valores a su vez, y para complicar más la cosa, vienen rodeados de comillas dobles " ¿¡!? Deberías mandar tus datos limpios, o sea, que vengan así más o menos:

$data=array('ANTONIO RODRIGUEZ', 'SEMANAL', '2993.00', '1245.40', '1747.60', '2993.00')

Y luego podrás implementar fácilmente tu consulta preparada. Tendrás un código seguro, normalizado y te acordarás de mi cuando te pidan una consulta que saque el promedio de los sueldos de los últimos tres meses o cuando te pidan la semana del año en que ANTONIO RODRIGUEZ tuvo menos ingresos o cosas así.

Si es muy difícil normalizar (por ser una BD en producción o lo que sea), te digo que un día u otro tendrás que hacerlo, porque un modelo de datos con los errores mencionados no podrá sobrevivir a casi ningún requerimiento sin complicaciones. En cuanto a $data, si resulta complicado limpiar los datos en el origen (quitar el signo de $ y quitar los separadores de miles) puedes hacerlo mediante código PHP antes de pasar los parámetros en la consulta preparada.

Tu Respuesta

Al pulsar en “Publica tu respuesta”, muestras tu consentimiento a nuestros términos de servicio, política de privacidad y política de cookies

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.