La consulta preparada en sí misma está bien. Sin embargo, yo mejoraría el código en tres aspectos:
- Verificar que realmente hay un valor en el POST.
- No estás evaluando la variable adecuada. En tu código
$row
sería una cadena con la consulta SQL, no representa para nada el objeto statement ni la ejecución de la consulta preparada, las cuales deberían ser evaluadas si quieres escribir un código robusto. Por lo demás, $row
no parece ser un nombre adecuado para una instrucción SQL. Considera siempre dar a las variables nombres que indiquen su sentido.
- Determinar si realmente se actualizaron filas, revisando la propiedad
affected_rows
de mysqli
, que es el único indicador seguro para tales fines, porque en algunos escenarios la ejecución puede ser true
, pero no actualizar nada (por ejemplo si el criterio del WHERE
no se cumple o si intentas actualizar la columna con el mismo valor que ya tiene).
El código quedaría así:
/*
Si tienes PHP 5 o anterior
debes cambiar esta línea por esto:
$email = !empty($POST['email']) ? $POST['email'] : NULL;
*/
$email = $POST['email'] ?? NULL;
if($email) {
$sql = "UPDATE $users SET token = 'esto' WHERE email = ?";
if ($set = mysqli_prepare($base, $sql)) {
mysqli_stmt_bind_param($set, "s", $email);
if( mysqli_stmt_execute($set) ) {
printf( "Se actualizaron %d filas",mysqli_affected_rows($base) );
} else {
# En producción sustituir mysqli_error por mensajes personalizados
printf( "Error ejecutando la consulta: %s", mysqli_error($base) );
}
} else {
# En producción sustituir mysqli_error por mensajes personalizados
printf( "Error preparando la consulta: %s", mysqli_error($base) );
}
} else {
echo "No se posteó un email";
}
Finalmente, te recomendaría migrar ya todo tu código mysqli
al estilo orientado a objetos. Es más claro, menos verboso y menos propenso a errores.