Según todo lo que he leído, las consultas preparadas existen para evitar los ataques conocidos como Inyección SQL, los cuales suponen un peligro gravísimo: desde modificar, borrar, manipular, revelar datos en la base de datos hasta entrar al mismo sistema de archivos en muchos casos.
Como ya se sabe, tanto PDO como mysqli tienen para ello un método llamado prepare()
para escribir supuestamente consultas preparadas y un método execute()
para ejecutar dichas consultas.
Pero una consulta como esta no es en realidad una consulta preparada:
$sql="SELECT laColumna FROM laTabla WHERE elCriterio=$unValor";
Si yo escribo algo así:
$bd->prepare($sql);
$bd->execute();
Y permito que $unValor
sea proporcionado por el usuario, éste podría inyectarme código y yo podría estar pensando que estoy escribiendo una consulta preparada, cuando no es cierto.
Mi pregunta es:
¿Por qué tanto PDO como mysqli permiten preparar consultas que en realidad no son consultas preparadas? Lo lógico sería que el código falle.
¿Es una permisividad más de PHP y ya está? ¿Hay alguna forma de forzar a PDO y/o a mysqli para que admitan solamente consultas preparadas reales?
Supongo que esta anomalía es permitida por algo. He buscado en la documentación y no encuentro respuesta.
Pregunto esto porque veo que en la comunidad de programadores esto conduce a errores: por el simple hecho de usar prepare()
se puede llegar a creer que el código es seguro, cuando no lo es en el caso expuesto.