¿Como funciona PDO?.
PDO: objetos de datos de PHP.
Son una forma de consultar a la base de datos preparando antes la setnencia SQL, de manera que esta se guarde y ejecute antes en el motor SQL y luego le asignemos los parametros o datos que queremos que se trabajen con la consulta.
El codigo una vez se ejecuta este unira al codigo SQL los parametros y ejecutara la consulta.
Evitando que puedan manipular tu string de SQL y los datos.
Paso cero: El funcionamiento.
Las consultas PDO preparadas funcionan asi:
1) Creo mi sentencia SQL.
2) La preparo.
3) Asigno los parámetros que tendrá (Sino hay, seguimos directo a la ejecución).
4) Ejecuto la sentencia.
5) Los retorno para usarlos.
Primer paso: La conexion.
Este codigo de conexion esta adaptado a la guia de phpdelusion.net.
La cual asegura sentencias preparadas con proteccion anti inyeccion SQL.
$servidor = "localhost";
$base= "basedatos";
$codificacion= "utf8";
$usuario = "root";
$contraseña = "pass";
try {
$datosConexion = "mysql:host=$servidor;dbname=$base;charset=$codificacion";
$atributosConexion= [PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC,
PDO::ATTR_EMULATE_PREPARES => false];
$conexion= new PDO($datosConexion,$usuario,$contrasena,$atributosConexion);
}
catch(PDOException $e)
{
}
Segundo paso: Las consultas simples:
Estas son cuando queremos obtener datos sencillos (sin condiciones WHERE) de la base de datos, para eso NO necesitamos preparar nada.
Por lo tanto no usaremos preparacion, sino el comando query()
query() :
Ejecuta una consulta estandarizada SQL a la base de datos, esto
requiere escapar correctamente los datos para evitar inyecciones sql
(vease: ¿Cómo evitar la inyección SQL en PHP?), generalmente se usa
cuando obtendrás datos sin ninguna condición o característica, es
decir sin usar WHERE.
Serian de la siguiente manera:
$sql = 'SELECT nombre, color, calorias FROM frutas ORDER BY nombre';
foreach ($conexion->query($sql) as $valor) {
echo $valor['nombre'] . "\t";
echo $valor['color'] . "\t";
echo $valor['calorias'] . "\n";
}
Tercer paso: Usando condiciones WHERE o mejor dicho, usando parámetros.
Ahora veamos, que ocurre si necesitamos colocarle parametros a las sentencias SQL, para obtener algo asi:
"SELECT usuario FROM usuarios WHERE usuario = $usuario";
Para eso debemos asignar parametros, usando execute()
execute() :
Corre o ejecuta una sentencia preparada que permite asignar parámetros
que evitan la inyección SQL ya que no debes recurrir a comillas o
escapar caracteres, en el caso de que quieras ejecutar de nuevo la
consulta a la base de datos, basta con ejecutar execute de nuevo para
hacerlo.
Esto requiere ademas que la sentencia se prepare antes.
Ejemplo:
//preparacion
$consulta = $conexion->prepare('SELECT nombre, color, calorias FROM frutas
WHERE calorias < :calorias AND color = :color');
//Asignacion, ojo, se puede usar bindParam, pero segun he leido es mejor usar bindValue
$consulta->bindValue(':calorias', $calorias);
$consulta->bindValue('color', $color);
//Ejecuto la sentencia.
$consulta->execute();
Donde:
$consulta->bindValue('calorias', $calorias) -> Asignar parametros
Le asignamos $calorias al parametro calorias , el cual corresponde al campo calorias de la tabla frutas.
Cuarto Paso: Marcado de posiciones.
Cuando vamos a asignar parametros a las sentencais, estos ocuparan un lugar llamado Marcado de poscicion, hay dos formas de utilizarlos.
1) Usando ":nombreDelCampo"
Tenemos la siguiente sentencia SQL:
"SELECT nombre FROM producto WHERE idProducto = $producto";
Su version parametrizada seria:
"SELECT nombre FROM producto WHERE idProducto = :producto";
Donde
idProducto es el campo de la tabla
:producto es la cajita que luego recibira el valor asignado
Esta forma permite que nosotros asignemos en cualquier orden posible los parametros, pues de igual manera como esten ordenados ellos ya tienen su lugar correspondiente.
Ejemplo 2:
"SELECT nombre FROM producto WHERE idProducto = :producto AND precio > :precio";
Si en esta sentencia hacemos esto:
$consulta->bindValue(':precio', $precio);
$consulta->bindValue(':producto', $producto);
No habra problemas, esta forma tambien permite mantener una mejor mantenibilidad del sistema, al poder tener nombres para cada parametro.
2) Usando ?
Otra forma es usar el signo interrogatorio cerrado (?), la ventaja no escribes tanto jejeje, la desventaja el codigo debe asignar los parametros en el mismo orden que estan puestos en la sentencia SQL.
Ejemplo:
Tenemos la siguiente sentencia SQL:
"SELECT nombre FROM producto WHERE idProducto = $producto";
Su version parametrizada seria:
"SELECT nombre FROM producto WHERE idProducto = ?";
Donde ? recibira la asignacion al parametro.
Ejemplo 2:
"SELECT nombre FROM producto WHERE idProducto = ? AND precio > ?";
Si en esta sentencia hacemos esto:
$consulta->bindValue(1, $precio);
$consulta->bindValue(2, $producto);
Causa error, porque estamos asignando el precio al ID y el ID al precio.
por lo tanto para esta forma se debe seguir el orden.
Siendo lo correcto:
$consulta->bindValue(1, $producto);
$consulta->bindValue(2, $precio);
Usamos 1,2,3,4,5 para el numero de marcador de posición, porque la funcion bindValue
espera dos valores.
Quinto Paso: Notas adicionales
Como observas en la sentencia SQL cuando igualamos idProducto = :idProducto , se presentan dos puntos, eso representa que :idProducto es una cajita donde se metera luego el valor de la variable asignada.
Esto porque las sentencias preparadas primero mandan a MySQL la sentencia:
SELECT nombre, color, calorias FROM frutas
WHERE calorias < :calorias AND color = :color
Y luego le mandan los valores
:color, $color
Para que al darle execute ambas se combinen algo asi:
SELECT nombre, color, calorias FROM frutas
WHERE calorias < $calorias AND color=$color
Pero todo ocurre dentro del mismo MySQL, no en el PHP.
NOTA: Colocar los dos puntos en la asignacion es opcional, tambien funciona asi:
$consulta->bindValue("producto", $producto);
Sexto paso: Formas de asignar parametros
Para asignar parametros a PDO, tenemos distintas formas igualmente validas, te mostrare dos por ahora:
1) Usando array:
$_SESSION['CodUsua']
function usuario_por_codigo($CodUsua)
{
$con = conexion("root", "");
$consulta = $con->prepare("select * from usuarios where CodUsua = :CodUsua");
$consulta->execute(array(':CodUsua' => $CodUsua));
$resultado = $consulta->fetchAll();
return $resultado;
}
2) Usando bindValue:
$_SESSION['CodUsua']
function usuario_por_codigo($CodUsua)
{
$con = conexion("root", "");
$consulta = $con->prepare("select * from usuarios where CodUsua = :CodUsua");
$consulta->bindValue(':CodUsua',$CodUsua);
$consulta->execute;
$resultado = $consulta->fetchAll();
return $resultado;
}
Octavo paso: ¿Falta mas?, seee. Obtener los resultados.
Una vez hemos preparado, asignado y ejecutado, falta recuperar los datos, para eso usamos fetch
Tenemos diferentes posibilidades de recuperar los datos, pero te dejare la que yo uso:
PARA MAYOR CONOCIMIENTO ENTRA A:
http://php.net/manual/es/pdostatement.fetch.php
Consultas simples:
foreach ($conexion->query($sql) as $valor) {
echo $valor['nombre'] . "\t";
echo $valor['color'] . "\t";
echo $valor['calorias'] . "\n";
}
Consultas preparadas:
fetchAll: Devolver la siguiente fila como un array indexado por nombre de columna
// 1 //
$consulta->setFetchMode(PDO::FETCH_ASSOC);
foreach ($consulta->fetchAll() as $key => $value) {
return $value;
}
//2//
$consulta = $conexion->query('SELECT name FROM users');
while ($resultados = $consulta->fetch())
{
echo $resultados['campoBaseDatos'] . "\n";
}
//3//
$sql = 'SELECT primerNombre FROM usuarios';
foreach ($conexion->query($sql) as $valor) {
echo $valor['primerNombre'] . "\t";
}
//4//
$resultados=$consulta->setFetchMode(PDO::FETCH_ASSOC);
foreach ($consulta->fetchAll() as $key => $value) {
$primerNombre= $value["campodelabasededatosqueconsultamos"];
$primerApellido= $value["primerApellido"];
}