static public function CrearNotaModel($tablaBD, $datosController) {
$pdo = ConexionBD::cBD()->prepare("INSERT INTO $tablaBD(id_paciente, fecha, nota, imc, glucosa, peso)
VALUES (:id_paciente, :fecha, :nota, :imc, :glucosa, :peso)");
$pdo -> bindParam(":id_paciente", $datosController["id_paciente"], PDO::PARAM_INT);
$pdo -> bindParam(":fecha", $datosController["fecha"], PDO::PARAM_STR);
$pdo -> bindParam(":nota", $datosController["nota"], PDO::PARAM_STR);
$pdo -> bindParam(":imc", $datosController["imc"], PDO::PARAM_STR);
$pdo -> bindParam(":glucosa", $datosController["glucosa"], PDO::PARAM_STR);
$pdo -> bindParam(":peso", $datosController["peso"], PDO::PARAM_STR);
if($pdo -> execute()) {
return true;
}
$pdo -> close();
$pdo = null;
}
¿Mis sentencias preparadas estan bien formuladas o hay algun fallo donde puedan hacer inyeccion SQL?
1 respuesta
Las sentencias preparadas son seguras en general si estan contienen interpolaciones de valores directos con bindParam()
como en el ejemplo de la pregunta.
Esto significa que la consulta ejecutaria correctamente en la mayoria de los casos, excepto por errores de programacion que podrian inducir errores (pero no inyeccion) tales como:
- Strings mas largos de lo que permite el esquema de base de datos (por ejemplo en un varchar(50) no se guardaran mas de 50 caracteres.
- Uso del tipo incorrecto o un valor no esperado en bindParam() (por ejemplo, usar PARAM_STR donde el campo es de tipo entero y el valor no es numerico)
Los problemas de inyeccion pueden venir despues a nivel de despliegue en HTML, si los datos que entran en la base de datos se muestran sin escape (ejemplo, sin usar htmlentities()
o htmlspecialchars()
) lo que podria producir inyeccion de codigo externo (XSS) al incrustarlo en el sitio ya sea en contenido HTML como en atributos.
$pdo -> close(); $pdo = null;
Con uno bastaría. Yo particularmente prefiero el último (no recuerdo ahora si en PDO o mysqli, pero en un escenario, usandoclose()
hacía luegovar_dump
del objeto y seguían apareciendo cosas sobre él, mientras que connull
no ... desde entonces, prefieronull
).$tablaBD
ya que está siendo interpolada. Obviamente las tablas no se pueden pasar en el binding por lo que deberías buscar una forma segura de garantizar que el valor de$tablaBD
es solo uno de los permitidos.