1

Estoy haciendo una consulta prepara para evitar la inyeccion sql, pero no me funciono la pagina que deberia mostrar el resultado, da error y creo que es porque las funciones que estoy usando son de mysqli, y estoy trabajando con postgresql, no estoy seguro si estas funcionan sirven con postgres y por eso los errores, de ser asi ¿como se harian las consultas preparadas con postgres?

$busqueda = $_GET['resultado'];

$query = "select * from datos where nombre = ?";

$resultado = pg_prepare($conexion, $query);

$consulta = pg_stmt_bind_param($resultado, "s", $busqueda);
$consulta = pg_stmt_execute($resultado);

if($consulta == false){

    echo "Error en consulta";
}else{

    $consulta = pg_stmt_bind_result($resultado, $nombre, $apellido, $telefono);

    while(pg_stmt_fetch($resultado)){

        echo $nombre . " " . $apellido . " " . $telefono;
    }

    pg_stmt_close($resultado);
}
1

1 respuesta 1

2

La documentación con respecto a Postgresql es algo pobre y dispersa. Además, las consultas preparadas funcionan algo diferente. A no ser que optases por PDO, lo cual no sería una mala idea, ya que salvo pequeños cambios con respecto a la conexión, la llamada a los métodos de consulta, preparar consultas, obtener los resultados, etc. es invariable.

En esta respuesta he tratado de reunir un código que funcione para tu caso.

Hago algunos comentarios en el código.

Espero te sirva.

<?php

/* Conectar: actualizar con datos reales */

$conn_string = "host=tu-host port=5432 dbname=nombrebd user=usuario password=clave";
$conn = pg_connect($conn_string);

/* Verificar si la conexión tuvo éxito */

if (!$conn) 
{

  echo "Hubo un error!\n";

}else{

    /* Con postgresql se usa $1, $2 ... en lugar de ? o marcadores de :nombre */

    $sql="SELECT nombre, apellido FROM datos WHERE nombre = $1";
    $busqueda="Valor a buscar";

    /* Preparar la consulta */

    $result = pg_prepare($conn, "my_query", $sql);

    /* Ejecutar la consulta */

    $result = pg_execute($conn, "my_query", array($busqueda));

    /* Verificar si no hubo resultados */

    if (!$result) {

        echo "No se encontraron datos o la consulta no tuvo éxito.\n";

    }else{

        /* Una posibilidad: Leer resultados por filas*/

        while ($row = pg_fetch_row($result)) 
        {
            echo "Nombre: ".$row[0] . "Apellido: ". $row[1]."<br>";
        }

        /* Otra posibilidad: Leer resultados como un arreglo*/

        while ($row = pg_fetch_array($result)) 
        { 
            echo "Nombre: ".$row["nombre"] . "Apellido: ". $row["apellido"]."<br>";
        } 

    } 

/* Cerrar conexión */

pg_close($conn);

}   

?>
2
  • Muchas gracias amigo, con respecto de llevarlo a pdo ¿seria usando las mismas funciones?, cabe destacar que estoy aprendiendo todavia y por eso estas dudas que pueden ser un poco obvias. Commented el 5 ago. 2017 a las 14:43
  • Me alegro que te haya servido @EdwinAquino . Si te decides por PDO lo único que cambiaría sería la forma de crear el objeto conexión, como explica el Manual. Luego, el preparar las consultas, ejecutarlas y leer el resultado sería igual que si estuvieses usando MySQL, SQL Server, Oracle o cualquier otro. Esta es una de las ventajas de PDO. De modo que si tienes una aplicación en MySQL y la bd se cambia a otro manejador, no tienes que cambiar todo el código, sino solamente el código de la clase que crea la conexión.
    – A. Cedano
    Commented el 5 ago. 2017 a las 15:40

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.