0

He editado el código añadiendo medio lo que entiendo, estoy usando mysqli el código funciona bien, me gustaría saber si hace falta añadirle algo para que la consulta preparada quede bien.

$email = $POST['email'];

$row = "UPDATE $users SET token = 'esto' WHERE email = ?";

if ($set = mysqli_prepare($base, $row)) {

mysqli_stmt_bind_param($set, "s", $email);

mysqli_stmt_execute($set);

}


if ($row) {

echo "Editado";

} else {

echo "Error";

}

2
  • Creo que conviene aclarar en la pregunta qué API estás usando (mysqli, PDO...), pues las consultas preparadas son distintas según la API. Indica también lo que has investigado/intentado y qué no entiendes de eso. La documentación del Manual de PHP sobre las consultas preparadas es bastante clara. En tu pregunta no aparece ningún esfuerzo por lograr algo relativamente fácil y sobre lo cual existe abundante documentación con ejemplos prácticos.
    – A. Cedano
    Commented el 1 nov. 2021 a las 10:33
  • @A.Cedano He editado la pregunta Commented el 1 nov. 2021 a las 17:05

2 respuestas 2

1

Puedes realizarlo con PDO, utilizando la misma consulta que indicas:


$pdo = new PDO(...); //Datos de la conexión

$query = "UPDATE tabla SET data = ? WHERE email = ?";

$data = 0;
$email = "[email protected]";

$smt = $pdo->prepare($query);
$upd = $smt->execute(array($data,$email));
if ($upd) echo "Actualizando...";
else echo "Error al actualizar...";

Lo mismo utilizando PDOStatement::bindValue:


$pdo = new PDO(...); //Datos de la conexión

$query = "UPDATE tabla SET data = :data WHERE email = :email";

$data = 0;
$email = "[email protected]";

$smt = $pdo->prepare($query);
$smt->bindValue(':data', $data);
$smt->bindValue(':email', $email);
$upd = $smt->execute();

if ($upd) echo "Actualizando...";
else echo "Error al actualizar...";

También puedes utilizar PDOStatement::bindParam y en esta entrada está explicada la diferencia bindParam y bindValue.

1

La consulta preparada en sí misma está bien. Sin embargo, yo mejoraría el código en tres aspectos:

  1. Verificar que realmente hay un valor en el POST.
  2. No estás evaluando la variable adecuada. En tu código $row sería una cadena con la consulta SQL, no representa para nada el objeto statement ni la ejecución de la consulta preparada, las cuales deberían ser evaluadas si quieres escribir un código robusto. Por lo demás, $row no parece ser un nombre adecuado para una instrucción SQL. Considera siempre dar a las variables nombres que indiquen su sentido.
  3. Determinar si realmente se actualizaron filas, revisando la propiedad affected_rows de mysqli, que es el único indicador seguro para tales fines, porque en algunos escenarios la ejecución puede ser true, pero no actualizar nada (por ejemplo si el criterio del WHERE no se cumple o si intentas actualizar la columna con el mismo valor que ya tiene).

El código quedaría así:

/*
   Si tienes PHP 5 o anterior 
   debes cambiar esta línea por esto: 
   $email = !empty($POST['email']) ? $POST['email'] : NULL;
*/   
   $email = $POST['email'] ?? NULL;

if($email) {  
    $sql = "UPDATE $users SET token = 'esto' WHERE email = ?";   
    if ($set = mysqli_prepare($base, $sql)) {
        mysqli_stmt_bind_param($set, "s", $email);
        if( mysqli_stmt_execute($set) ) {
            printf( "Se actualizaron %d filas",mysqli_affected_rows($base) );
        } else {
            # En producción sustituir mysqli_error por mensajes personalizados
            printf( "Error ejecutando la consulta: %s", mysqli_error($base) );
        }       
    } else {
        # En producción sustituir mysqli_error por mensajes personalizados
        printf( "Error preparando la consulta: %s", mysqli_error($base) );
    }
} else {
    echo "No se posteó un email";
}

Finalmente, te recomendaría migrar ya todo tu código mysqli al estilo orientado a objetos. Es más claro, menos verboso y menos propenso a errores.

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.