En php
se soluciona ejecutando una consulta sql
preparada, mediante las herramientas que nos proporciona la capa de abstracción de la librería PDO
. Como lo he dicho, esta librería es una capa de abstracción que nos permite trabajar con más de 12 motores de base de datos diferentes, y es una mejora sustancial de la seguridad en comparación con mysqli
(D:'). El método PDO::bindParam()
se encarga de escapar todo carácter especial en la manipulación de strings
para evitar métodos de inyección SQL
, reemplazando apuntadores especiales que dejemos en la definición de nuestra consulta con la variable que contenga nuestro string con carácteres especiales.
Un buen ejemplo de un caso real me sucedió con el nombre de mi región, "Región del Libertador General Bernardo O'Higgins Riquelme", que lleva una comilla simple.
Con PDO
quedaría más o menos así:
<?php
// Instanciando el objeto PDO al crear la conexión:
$miPdo = new PDO("mysql:host='nombre_servidor';dbname='nombre_db';charset=utf8",'usuario','pass');
// Representación de la variable que contendrá la cadena con el carácter especial
$region = "Región del Libertador General Bernardo O'Higgins Riquelme";
// Aludiremos una tabla con un solo campo para este ejemplo
$sql = "insert into tabla_regiones values(:ARG);";
// Iniciamos la preparación de la sentencia
$sttmnt = $miPdo->prepare($sql);
// >Insertamos el texto de nuestra variable que contiene el carácter
// especial en la consulta sql de la siguiente forma:
//
// 1) Debemos indicar cuál será el apuntador que debemos reemplazar (:ARG)
//
// 2) Debemos indicar con qué VARIABLE lo vamos a reemplazar
// ----***IMPORTANTE: el método bindParam() solo acepta VARIABLES
// ----para asociar a la consulta. Si intentamos escribir directamente en la
// ----definición del método obtendremos un error y la consulta no computará***
// 3) Por último debemos especificar qué tipo de dato estamos asociando para que
// ----bindParam() sepa cómo manipularlo. En este caso, al ser un string debemos
// ----declarar el manejador PDO::PARAM_STR
$sttmnt->bindParam(':ARG', $region, PDO::PARAM_STR);
// Finalmente ejecutamos:
$sttmnt->execute();
?>
-Recomiendo que se pasen por la [documentación de PDO en el sitio oficial de PHP, si no lo conocen les va a cambiar la vida.