Cuando preparamos las consultas con prepare ( ) no se deben pasar parámetros dinámicos en la preparación de una consulta solo se debe pasar la parte estática de la consulta y nunca parámetros externos.
Para que me entiendas lo que conseguimos y buscamos con esto, es que la parte del prepare ( ), nunca pueda ser alterada por un usuario malicioso, también conseguimos que si tenemos múltiples registro a insertar no tengamos que volver a preparar la consulta, solo ligar los parámetros y ejecutar por cada nuevo registro.
Vemos tu código:
// Establecemos la conexion
$conn = new mysqli($servername, $username, $password, $dbname);
// comprobamos que se haya establecido correctamente
if ($conn->connect_error) {
die("Connection failed: " . $conn->connect_error);
}
// Preparamos la consulta
// en esta parte no se deben pasar parámetros externos
$stmt = $conn->prepare("INSERT INTO MyGuests (firstname, lastname, email)
VALUES (?, ?, " . $_POST['email'] . ")");
// Asignamos los parámetros a la consulta previamente preparada
// aquí es donde se deben pasar lo parámetros no en el prepare
$stmt->bind_param("ss", $firstname, $lastname);
// ejecutamos la consulta
$stmt->execute();
Veamos pues como quedaría tu código después de tener estas cosas en cuenta:
// Establecemos la conexion
$conn = new mysqli($servername, $username, $password, $dbname);
// comprobamos que se haya establecido correctamente
if ($conn->connect_error) {
die("Connection failed: " . $conn->connect_error);
}
// Preparamos la consulta
// en esta parte no se deben pasar parámetros externos
$stmt = $conn->prepare("INSERT INTO MyGuests (firstname, lastname, email)
VALUES (?, ?, ? )");
// Asignamos los parámetros a la consulta previamente preparada
// aquí es donde se deben pasar lo parámetros no en el prepare
$stmt->bind_param("sss", $firstname, $lastname, $_POST['email'] );
// ejecutamos la consulta
$stmt->execute();
Fijate que en la preparación solo ponemos los operadores de posición ? en lugar de pasar el dato directamente.
$_POST['email']
lo estás ingresando a la consulta sin hacerbind_param
que justamente sirve para evitar inyecciones SQLbind_param
para evitar ataques de inyección SQL.