0

Problema:

Para insertar multiples datos a "X" tabla, estoy tratando de crear un metodo que haga que el bindParam sea dinamico, pero tengo muchos errores y no consigo concatenar los datos de manera correcta, mi amigo foreach falla y no hayo la forma de recorrer 2 arrays al mismo tiempo y que los campos y valores queden relacionados. Aclaro que al escribir todas las filas de manera manual me funciona y puedo ingresar los datos a la Db sin probelmas. Pero en caso de tablas con muchas columnas si necesito que esto sea automatico.

Lo que he intentado:

He creado un array con todos los campos de la tabla y una clase que devuelve un objeto con todos los metodos que retornan los valores para ingresar a la DB. inmediatamente recibo el arreglo y el objeto por parametros, trato de recorrelos con un foreach o un for pero no logro relacionarlos.

Por ultimo he probado con array_merge() pero genera un error que supongo es por el objeto que tiene los valores que necesito ingresar.

Este es el codigo ejemplo de lo que intento hacer:

//$sql es la sentencia del INSERT
//Ej.(INSERT INTO users(nick_user)  VALUES (:nick_user))
//$users es el objeto con los valores a ingresar
//Ej($users->get_nickUser())
//$valuesParams es el arreglo con las columnas de la tabla, ya vienen con los ":" 
//Ej.(:name_user)

//Test 1:

 public function userCreate($con,$sql,$users,$valuesParams) //Registrar Usuario

  {
    $this->stmt=$con->prepare($sql);
    $this->stmt->execute(array_merge($valuesParams,$users));

  }

//test 2:

  foreach ($users as $v) {
      foreach($valuesParams as $k){
        $get=$v;
        // $this->stmt->bindParam($k,$get,PDO::PARAM_STR);
    }
      echo $k++ .'<br>';
      echo $get.'<br>';
      // $this->stmt->bindParam($k,$get,PDO::PARAM_STR);
     
    }

//Codigo nuevo error

$con = new ConDb($files);

$con1 = $con->con();


class DBTables
{

    private $tables =
        array(
            "user_app" =>
            array(
                "columns" =>
                array(
                    "user_id" => PDO::PARAM_INT,
                    "user_name" => PDO::PARAM_STR,
                    "user_lastname" => PDO::PARAM_STR,
                )
            ),
            "film" =>
            array(
                "columns" =>
                array(
                    "film_id" => PDO::PARAM_INT,
                    "title" => PDO::PARAM_STR,
                    "description" => PDO::PARAM_STR,
                    "film_year" => PDO::PARAM_INT,
                    "language_id" => PDO::PARAM_INT,
                )
            ),
        );

    public function __construct()
    {
    }

    public function prepareQuery($tableName)
    {
        $table = $this->tables[$tableName] ?? null;
        if (!$table) {
            throw new Exception("La tabla $tableName no existe.");
        }
        $columns = array_keys($table["columns"]);
        $sql = sprintf(
            "INSERT INTO %s (%s) VALUES (%s)",
            $tableName,
            implode(",", $columns),
            sprintf("%s%s", ":", implode(",:", $columns))
        );
        return array("query" => $sql, "columns" => $table['columns']);
    }
}

$tableName = "user_app";
$users = array(
    array("user_id" => 33, "user_name" => "Pedro", "user_lastname" => "Díaz"),
    array("user_id" => 22, "user_name" => "Marta", "user_lastname" => "Pérez"),
);


try {
    $dbTables = new DBTables();
    $queryWithColumns = $dbTables->prepareQuery($tableName);
    $stmt = $con1->prepare($queryWithColumns["query"]);
    foreach ($users as $row) {

        foreach ($row as $column => &$value) {
            //Esta es la linea del error PDOStatement::bindParam() expects at least 2 arguments, 1 given in
            $stmt->bindParam(sprintf(":%s %s %d", $column, $value, $queryWithColumns["columns"][$column]));
        }
        $stmt->execute();
    }
} catch (Exception $e) {
    echo $e->getMessage();
}

1 respuesta 1

0

Tu pregunta me parece interesante, y no tanto por el hecho de poder construir consultas dinámicas (lo cual es relativamente fácil en PDO, dada la flexibilidad de poder pasar en el execute() un array que asocie marcadores y valores por ejemplo), sino por aspectos mucho más serios, como el hecho de manejar listas blancas de cara a aumentar el nivel de seguridad con respecto al problema de la inyección SQL1.

Pero, advierto que no es una tarea fácil lo que pretendes hacer aquí, y eso debido a varios aspectos: las consultas suelen ser de distintos tipos: INSERT, UPDATE, SELECT y pueden tener o no criterios WHERE, LIKE ... y pueden, según los casos, excluir algunos campos.

Un enfoque interesante podría ser una clase, donde tendrías encapusalada la realidad tus tablas y a partir de ahí generar las consultas dinámicas.

La cuestión es que si te vas a meter en algo, métete en serio, en este caso vale la pena, porque hablamos de la seguridad de los datos y de todo el sistema (por lo dicho antes de la inyección SQL y las listas blancas). Cuando esta clase esté terminada, podrás generar consultas dinámicas de cualquier tipo con solo instanciar la clase y llamar a prepareQueryAndData(). Esta es la gran ventaja de la POO.

Este sería un ejemplo, el más sencillo posible, que comprende dos tablas y sólo un caso de INSERT. Si te interesa, luego lo puedes ampliar a UPDATE, a SELECT y poner o quitar criterios.

La clase sería esta:

/*
    Clase para crear consultas preparadas dinámicas
    de cualquier tabla que se pase en parámetro
    Esta clase podría ser muy útil por ejemplo para manejar
    listas blancas, y aumentar la seguridad de cara a
    riesgos de Inyección SQL
*/
class DBTables
{
    /*
        $tables es un array que representará tus tablas
        simplemente está, por fuera, el nombre de la tabla:
        user, film, etc
        y dentro de cada una un array asociativo con
        el nombre de cada columna y el tipo de dato
        usando las constantes predefinidas de PDO
        esto será útil para el bindParam...
        $tables se puede ampliar, indicando por ejemplo
        si la columna es AUTO_INCREMENT, para excluirla
        en los casos de INSERT, etc.
        Es IMPORTANTE evitar el uso de palabras reservadas
        para tablas y columnas, por ejemplo, "user"
        suele ser una palabra reservada, por eso para el ejemplo
        he preferido usar "user_app" como nombre de tabla
        o "film_year" como nombre de columna en la tabla "film"
    */
    private $tables=
        array(
            "user_app"=>
                array(
                        "columns"=>
                            array(
                                    "user_id"=>PDO::PARAM_INT,
                                    "user_name"=>PDO::PARAM_STR,
                                    "user_lastname"=>PDO::PARAM_STR,
                                 )
                    ),
             "film"=>
                array(
                        "columns"=>
                            array(
                                    "film_id"=>PDO::PARAM_INT,
                                    "title"=>PDO::PARAM_STR,
                                    "description"=>PDO::PARAM_STR,
                                    "film_year"=>PDO::PARAM_INT,
                                    "language_id"=>PDO::PARAM_INT,                              
                                 )
                    ),       
            );

    public function __construct() 
    {}

    /*
        Este método crea la consulta preparada
        de cualquier tabla y devuelve un array
        con dos claves: una clave "query"
        que contiene la consulta preparada
        y una clave "columns" que devuelve las
        columnas de la tabla, para saber el tipo de dato
        a la hora del bindParam.
        Ampliando la clase, se podría pasar un parámetro
        con el tipo de consulta que se quiere pasar: 
        INSERT, UPDATE, SELECT
        y en base a ello, trabajar la sintaxis de la
        instrucción que se va a preparar
    */
    public function prepareQuery($tableName) 
    {
        $table=$this->tables[$tableName] ?? null;
        if( !$table ) 
        {
            throw new Exception("La tabla $tableName no existe.");
        }
        $columns=array_keys($table["columns"]);
        $sql=sprintf("INSERT INTO %s (%s) VALUES (%s)",
                      $tableName,
                      implode(",",$columns),
                      sprintf("%s%s",":",implode(",:",$columns))
                     );
        return array("query"=>$sql, "columns"=>$table['columns']);
    }   
}

Ahora veamos un uso contextual. Supongamos que en la situación 1234580 de tu aplicación recoges datos como estos:

$tableName="user_app";
$users=array(
                array("user_id"=>1,"user_name"=>"Pedro", "user_lastname"=>"Díaz"),
                array("user_id"=>2,"user_name"=>"Marta", "user_lastname"=>"Pérez"), 
            );

Y necesitas hacer un INSERT de esos datos. Instancias la clase, le pasas los datos y la clase te prepara todo para la inserción (la clave de todo aquí es que los nombres de columnas en $users coincidan con la definición de la tabla en la clase DBTables):

try 
{
    $dbTables=new DBTables();
    $queryWithColumns=$dbTables->prepareQuery($tableName);
    $stmt=$con->prepare($queryWithColumns["query"]);
    foreach ($users as $row) 
    {
        /*
           Si usas bindParam, aquí es fundamental 
           pasar $value por referencia
           por eso ponemos & delante: &$value
        */
        foreach ($row as $column=>&$value) 
        {
            $stmt->bindParam(":".$column,$value,$queryWithColumns["columns"][$column]);                              
        }
        $stmt->execute();
    }
} 
catch (Exception $e) 
{
    echo $e->getMessage();
}

La idea con todo esto es que DBTables sirva para preparar cualquier consulta.

Imaginemos que ahora quieres insertar también películas. Con un array adecuado de datos, lo único que cambia es los siguiente de todo el código anterior:

    #Cambia el parámetro que pasamos a prepareQuery
    $queryWithColumns=$dbTables->prepareQuery("film");
    $stmt=$con->prepare($queryWithColumns["query"]);
    #Cambian los datos del 1er foreach
    foreach ($films as $row) 
    {
        #Todo lo demás queda igual
        #Aquí el segundo foreach
    }

DEMO

Aquí tienes una DEMOSTRACIÓN con las salidas de dos casos de uso y algunos comentarios más.

Cualquier duda, pregunta en comentarios al pie de esta respuesta. Soy humano, no soy una IA.


Notas

  1. Sobre el asunto de las listas blancas, ver el apartado Solución sólida en todo de esta respuesta
12
  • Gracias, claro que que me quiero meter de lleno. Este planteamento en el Demo funciona, pero probando el ejemplo solo con la tabla user genera este error ` Fatal error: Uncaught ArgumentCountError: PDOStatement::bindParam() expects at least 2 arguments, 1 given in `... al imprimir la variable muestra esto: print_r($queryWithColumns); //Array ( [query] => INSERT INTO user_app (user_id,user_name,user_lastname) VALUES (:user_id,:user_name,:user_lastname) [columns] => Array ( [user_id] => 1 [user_name] => 2 [user_lastname] => 2 ) ). Solucionando esto e insertando los datos, seria perfecto. el 24 may. a las 20:41
  • este es el error que marca el bindParam en el editor, "Expected 2 arguments. Found 1 Missing argument $var for bindParam()PHP(PHP0423) function PDOStatement::bindParam( int|string $param, mixed &$var, int|null $type = PDO::PARAM_STR, int|null $maxLength = 0, mixed $driverOptions = null ): bool" Y esto es lo que imprimer el xdebug bindParam( $param = ':user_id 1 1' ) el 24 may. a las 21:04
  • @PrincessOfWater por favor, edita la pregunta y coloca el código que has implementado y que genera los errores que describes. Agrega también allí los mensajes de error. Así podremos ver si has escrito algo mal en el código.
    – A. Cedano
    el 24 may. a las 23:01
  • quitando el ´printf´ del ´bindParam´ funciona y pude ingresar datos a la tabla... Pero me surjen dudas, yo entiendo que lo usaste para convertir esa parte en cadena, pero cual seria la problematica de no implementarlo tal cual como esta en el ejemplo. Por otra parte, no entiendo el motivo por el cual ´printf´ si funciona en el metodo "prepareQuery()", con la variable ´$slq´ y no fuera de la clase en el ´foreach´. el 25 may. a las 9:14
  • @PrincessOfWater si en vez de sprintf usas printf no funcionará en este caso. La gran diferencia entre ambos es que sprintf te genera una variable, mientras que printf te imprime el dato en pantalla. Cuando quieres obtener variables o concatenar ese contenido en otra variable, siempre debes usar sprintf
    – A. Cedano
    el 25 may. a las 10:42

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.