La consultas preparadas usan un marcador, en este caso, tu marcador es ?
. Simplemente ese marcador dice al manejador: en ese lugar va un dato, el cual te pasaré luego, con el método adecuado para eso, para que un hacker no te engañe.
Entendido eso, en el caso de LIKE
simplemente preparas tu criterio de filtro tal cual, agregando los delimitadores a la variable que pasarías en parámetro. El método de la API se encargará de verificar cualquier anomalía en esos datos.
El código quedaría así:
$mParam="%$categorian%"; #Aunque un hacker intente manipular lo que llega
#en la variable $categorian, no hay riesgo aquí
$stmt = $mysqli->prepare("SELECT * FROM productadm WHERE name LIKE ? ORDER BY id LIMIT $start_f,$porpag");
$stmt->bind_param('s', $mParam);
$stmt->execute();
$resultado = $stmt->get_result();
Podemos ver un ejemplo con dos LIKE
que usarían el dos parámetros, pero con el mismo valor:
$mParam="%$categorian%";
$stmt = $mysqli->prepare("SELECT * FROM productadm WHERE name LIKE ? OR apellido LIKE ? ORDER BY id LIMIT $start_f,$porpag");
$stmt->bind_param('ss', $mParam, $mParam);
$stmt->execute();
$resultado = $stmt->get_result();
Si analizas este código en bind_param()
pasas dos veces la misma variable, porque se usará el mismo dato como criterio para filtrar .
O bien uno que usa dos LIKE
con dos parámetros con dos valores individuales:
$pName="%$mName%";
$pLastName="%mLastName%";
$stmt = $mysqli->prepare("SELECT * FROM productadm WHERE name LIKE ? OR apellido LIKE ? ORDER BY id LIMIT $start_f,$porpag");
$stmt->bind_param('ss', $pName, $pLastName);
$stmt->execute();
$resultado = $stmt->get_result();
En todos los casos, lo que haces en bind_param()
es decirle al manejador: aquí están los datos que te prometí (en los marcadores de la consulta preparada), chequea que el usuario no ha hecho trampa con ellos, intentando inyectar código malicioso. Queda claro que debes pasar cada valor correspondiente en el orden respectivo. Eso está explicado en la documentación.
Advertencia
En tu consulta, en la parte del LIMIT
, se aprecian otras dos variables que no sé de donde vienen, tampoco están en el contexto de tu pregunta original. Debes saber que si esas dos variables están al alcance del usuario, deberían también ser pasadas con bind_param()
, pues el quid de la cuestión aquí es evitar que el usuario manipule cualquier variable para inyectar código malicioso, y el punto de entrada para hacer eso son precisamente los datos que éste proporciona y que luego tú asumes en el código.