15

En realidad no tengo claro ¿cuál es la diferencia entre los métodos bindParam() y bindValue() a la hora de hacer consultas a mi base de datos usando PDO.

Me gustaría entender la diferencia, si es posible con algún ejemplo ilustrativo.

Y, sin entrar en el terreno de las opiniones, saber si cada uno existe para un uso específico o si por el contrario se pueden usar indistintamente.

4
  • Acabo de leer que pides ejemplo. Si no te basta con mi explicación dímelo y te pongo un ejemplo de cada uno y su respuesta a modificaciones posteriores. Commented el 3 abr. 2017 a las 12:00
  • @OscarGarcia Gracias. Sí, creo que se entendería mejor con un ejemplo. Mi confusión vino también al haber leído que el comportamiento entre uno y otro no era igual por ejemplo al tratar los valores nulos. O que bindValue no era tan eficaz como bindParam a la hora de prevenir inyección SQL (stackoverflow.com/questions/14413326/…)
    – A. Cedano
    Commented el 3 abr. 2017 a las 12:17
  • Creo que esa respuesta te está confundiendo. Prácticamente te explican lo mismo que yo te he explicado en cuanto al comportamiento (con un ejemplo que prácticamente copiaré/pegaré), pero te explican que ninguno de los dos interpreta el significado SEMÁNTICO de un % o _ como comodín, agregando que AMBOS protegen por igual contra inyección. Es decir, que eso último es exactamente igual en ambos y no es nada de lo que preocuparse. Commented el 3 abr. 2017 a las 12:33
  • Agregada la edición Commented el 3 abr. 2017 a las 12:45

2 respuestas 2

24

La propia documentación de PHP te explica la diferencia en la página de PDOStatement::bindParam():

A diferencia de PDOStatement::bindValue(), la variable es vinculada como una referencia y solamente será evaluada en el momento en el que se llame a PDOStatement::execute().

Es decir, en PDOStatement::bindParam() se pasa una referencia de la variable (un "puntero") de manera que si cambias su valor antes de un execute(), éste hará la sustitución con el valor que tengan dichas variables en el instante de llamar al execute(), teniendo en cuenta esas últimas modificaciones.

En PDOStatement::bindValue() se asigna el valor que tenga en ese momento la variable y aunque ésta cambie a lo largo de varias ejecuciones de execute() la sustitución permanece invariable.

Ambas protegen por igual de inyección SQL y tienen exactamente el mismo comportamiento interno una vez resueltas las sustituciones.


Ejemplo ilustrativo con PDOStatement::bindValue():

$consulta = $db->prepare('SELECT * FROM `tabla` WHERE ejemplo = :ejemplo');

$ejemplo = 'un_ejemplo';
/* Aquí es donde se tiene en cuenta el valor de $ejemplo: un_ejemplo */
$consulta->bindValue(':ejemplo', $ejemplo);
$ejemplo = 'otro_ejemplo';

$consulta->execute();

La consulta ejecuta SELECT * FROM tabla WHERE ejemplo = 'un_ejemplo' porque se fija el valor de :ejemplo con el contenido de la variable $ejemplo, que es "un_ejemplo" en el momento de ejecutarse bindValue().

Ejemplo ilustrativo con PDOStatement::bindParam():

$consulta = $db->prepare('SELECT * FROM `tabla` WHERE ejemplo = :ejemplo');

$ejemplo = 'un_ejemplo';
$consulta->bindParam(':ejemplo', $ejemplo);
$ejemplo = 'otro_ejemplo';

/* Aquí es donde se tiene en cuenta el valor de $ejemplo: otro_ejemplo */
$consulta->execute();

La consulta ejecuta SELECT * FROM tabla WHERE ejemplo = 'otro_ejemplo' porque NO se fija el valor de :ejemplo como el en ejemplo anterior, si no que obtiene el valor de la variable $ejemplo cuando se ejecuta execute(), y en ese momento el valor es "otro_ejemplo".


Ejemplo ilustrativo con PDOStatement::bindValue() (2):

$consulta = $db->prepare('INSERT INTO tabla (valor) VALUES (:valor)');

$ejemplo = [ 'a', 'b', 'c', 'd' ];
foreach ($ejemplo as $valor) {
  $consulta->bindValue(':valor', $valor);
  $consulta->execute();
}

Por cada iteración tenemos que hacer un bindValue() y un execute().

Ejemplo ilustrativo con PDOStatement::bindParam() (2):

$consulta = $db->prepare('INSERT INTO tabla (valor) VALUES (:valor)');

$ejemplo = [ 'a', 'b', 'c', 'd' ];
$valor = ''; /* No es necesario, pero es ilustrativo */
$consulta->bindParam(':valor', $valor);
foreach ($ejemplo as $valor) {
  $consulta->execute();
}

Como tenemos guardada la referencia a la variable $valor no es necesario volver a llamar a bindParam() antes de cada execute().

8
  • 1
    +1 Excelente respuesta. Para que sea completa y aceptada creo que le faltaría indicar, si es posible, por qué existen uno y otro... imagino que se debe a que hay casos en los que conviene usar bindParam() y otros en los que sería mejor usar bindValue(). Con esa pequeña explicación podría dar la respuesta por aceptada. Gracias.
    – A. Cedano
    Commented el 5 abr. 2017 a las 9:28
  • Ya me pediste un ejemplo ilustrativo. Voy a ponerte otro adicional, supongo que con eso te tendrías que hacer una idea de su uso y en qué casos te viene mejor usar uno u otro. Commented el 5 abr. 2017 a las 10:45
  • 1
    ¡Excelente! Muchísimas gracias.
    – A. Cedano
    Commented el 17 abr. 2017 a las 23:27
  • 2
    Que excelente respuesta! Gracias ;) Commented el 14 sept. 2018 a las 20:40
  • 1
    Excelente respuesta, ahora veo el porque me salía otro valor. Gracias por la explicación. Commented el 27 may. 2022 a las 17:05
0

Con BindParam solo puedes pasar variables y con BindValue puedes pasar Objetos

    public function NuevoProyecto($Proyectos){
    try {
        $sql="INSERT INTO proyectos( titulo, cliente, descripcion, alias) VALUES (:titulo,:cliente,:descripcion,:imgcliente:,:fecha,:alias)";
        $con = new conexion();
        $sentencia = $con->getCon()->prepare($sql);     
        $sentencia ->bindValue(":titulo", $Proyectos->getTitulo());
        $sentencia ->bindValue(":cliente",$Proyectos->getCliente());
        $sentencia ->bindValue(":descripcion",$Proyectos->getDescripcion());
        $sentencia ->bindValue(":imgcliente",$Proyectos->setImgCliente());
        $sentencia ->bindValue(":fecha",$Proyectos->setFecha());
        $sentencia ->bindValue(":alias",$Proyectos->getAlias());
        $Exec = $sentencia -> execute();
        if ($Exec) {
            echo "Se agrego con exito";
        }else{
            echo "Ocurrio un error con la insersion";
        }
    } catch (Exception $E) {
        echo "hubo un error en Nuevo Proyecto" . $E->getMessage();
    }
}
1
  • ¿A qué te refieres con que "puedes pasar objetos"? En tu caso parece que estás pasando cadenas de caracteres. Al ser una llamada a una función no es posible obtener la referencia (puntero) que requiere bindParam(). Pero es porque no se puede obtener una referencia al resultado de una llamada a una función (o método de clase, como es tu caso), no por "pasar objetos". Commented el 12 ene. 2021 a las 14:09

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.