¿Porque se recomienda usar "data binding" en las consultas PDO de tipo SELECT sino van a introducir datos en la BD?
1 respuesta
PDO significa exactamente “PHP Data Objects”, como veremos más adelante, se hace uso de la archiconocida programación orientada a objetos para PHP cuando quieres usar PDO. He de decir primero que si quieres usar eso debes tener una versión de PHP superior o igual a la 5.1, pero como creo que veréis lógico, no me voy a entretener ahora en eso.
¿Qué ventajas tiene con respecto a lo convencional?
Esta es una pregunta común y creo que de sencilla respuesta: TODO. Me explico, a través de PDO puedes manejar 12 tipos distintos de bases de datos (Oracle, MySQL, SqLite, etc…), puedes usar parámetros por nombre (ya veremos en futuros tutoriales lo que es) y puedes usar “prepared statements”. Pero lo más importante es la SEGURIDAD que ganas usando este “método”, al usar estas sentencias preparadas, que no son muy distintas a lo que se consigue a través de MySQL, usando mysql_real_escape_string();, pero que a mi parecer son más fáciles de entender combinadas con los parámetros por nombre.
Sin embargo, como se suele decir, no todo el monte es orégano, o no es oro todo lo que reluce, el rendimiento es un 2,5% peor al conseguido a través de MySQLite, lo que quiere decir que es un 2,5% más lento que este último, algo realmente insignificante, pero esto pretende ser algo objetivo y todo ha de ser dicho.
Fuente: http://codigoprogramacion.com/cursos/php-y-mysql/usar-pdo-en-php-introduccion.html#.WOyREojyiUk
-
1Me parece que @Orici no pregunta por las ventajas de PDO, sino por una característica particular de este, el
data binding
– MurianoCommented el 11 abr. 2017 a las 12:12 -
Hola, el aporte es interesante, me imaginaba que el rendimiento era inferior (hay que seleccionar la BD a la que conectar), creo que querías decir MySQLi y no MySQLite en este último párrafo.– OriciCommented el 12 abr. 2017 a las 21:16
SELECT...
también puedes ser víctima de Inyección SQL. Ver: es.stackoverflow.com/questions/10518/… Imagina que tienes esto:SELECT FROM tabla WHERE id_usuario=$POST['id_usuario'];
Tienes un formulario donde se introduce unid_usuario
y mandas la consulta a la BD ¿verdad? . ¿Y si alguien escribe esto en el input del formulario?1; DELETE FROM unatabla; DELETE FROM otratabla; DELETE FROM oootratabla;
Te imaginas lo que pasa en ese caso si no usas consultas preparadas (enviando los datos por databinding)?