1

Fatal error: Uncaught PDOException: SQLSTATE[42000]: Syntax error or access violation: 1064 You have an error in your SQL syntax; check the manual that corresponds to your MariaDB server version for the right syntax to use near ''inventory' WHERE 'Inv_User' = 'gmarsi'' at line 1 in C:\xampp\htdocs\qbc_web\funciones\funciones_contador.php:14 Stack trace: #0 C:\xampp\htdocs\qbc_web\funciones\funciones_contador.php(14): PDOStatement->execute() #1 C:\xampp\htdocs\qbc_web\login\profile.php(75): contarElementos('Inv_User', 'inventory', 'Inv_User', 'gmarsi') #2 {main} thrown in C:\xampp\htdocs\qbc_web\funciones\funciones_contador.php on line 14

Me da este error al generar la consulta, el código es este:

function contarElementos($element, $table, $condition, $purchased){    
        require(realpath($_SERVER["DOCUMENT_ROOT"]) .'/qbc_web/datos_conexion.php');         

    $consulta = "SELECT COUNT(:element) AS Contador FROM :table WHERE :condition = :purchased";

    $result = $base -> prepare($consulta);

    $result -> bindValue(':element', $element);
    $result -> bindValue(':table', $table);
    $result -> bindValue(':condition', $condition);
    $result -> bindValue(':purchased', $purchased);
    $result -> execute();
    $sql_contador = $result->rowCount();


    if($sql_contador < 1){
            return 0;
    }else{
       while($fila = $result -> fetch(PDO::FETCH_ASSOC)){ 
            return $fila['Contador'];
        }
    }    
    // echo $consulta;
}

La función básicamente lo que hace es contar los elementos de X tabla teniendo en cuenta los parámetros que se le introducen. Como se puede ver en el error aparece contarElementos('Inv_User', 'inventory', 'Inv_User', 'gmarsi') que son los parámetros que quiero que use la función para hacer la consulta a la base de datos. A qué se debe esto?

2
  • 1
    Los nombres de tabla y los nombres de columna no se pueden pasar en parámetro en PDO. Esto es erróneo: SELECT COUNT(:element) AS Contador FROM :table WHERE :condition a lo sumo debería ser algo como: SELECT COUNT($element) AS Contador FROM $table WHERE $condition ... guardado de pasar los valores en parámetros, eso es lo más importante de cara a la Inyeccion SQL.
    – A. Cedano
    el 31 ago. 2017 a las 17:39
  • 1
    Posible duplicado de Usar nombres de campos en una consulta preparada con PDO el 31 ago. 2017 a las 17:43

1 respuesta 1

1

Los nombres de tabla y los nombres de columna no se pueden pasar en parámetro cuando usamos consultas preparadas, como ocurre en este caso usando PDO.

Se puede ver en la documentación de MySQL:

... Dentro de la declaración, los caracteres ? se pueden utilizar como marcadores de parámetros para indicar dónde se van a vincular los valores de datos a la consulta más adelante cuando se ejecute. Los caracteres ? no se deben encerrar entre comillas, incluso si tiene la intención de vincularlos a valores de cadena. Los marcadores de parámetros sólo se pueden utilizar en los valores de datos que deben aparecer, no para palabras clave SQL, identificadores (nombres de tablas, de columnas...), etc.

Lo dicho más arriba aplica tambien para los marcadores de :nombre.

Por tanto, esto es erróneo:

SELECT COUNT(:element) AS Contador FROM :table WHERE :condition...

a lo sumo debería ser algo como:

"SELECT COUNT($element) AS Contador FROM $table WHERE $condition ..."

guardado de pasar los valores en parámetros, eso es lo más importante de cara a la Inyeccion SQL:

$result -> bindValue(':element', $element);

$result -> bindValue(':table', $table);

$result -> bindValue(':condition', $condition);

//Este es el valor importante para pasar en parámetro
$result -> bindValue(':purchased', $purchased);

Por otra parte, el uso de rowCount para saber si hay datos es un mito muy difundido en PDO.

Si quieres saber si hay datos, actúa sobre los mismos datos, así te evitas el rowCount suplementario, optimizando el codigo. Por ejemplo:

$sql_contador = $result->rowCount();

$fila=$result -> fetch(PDO::FETCH_ASSOC);

//Si no hay datos $fila será `false` 
if(! $fila){
        return 0;
}else{
   while($fila){ 
        return $fila['Contador'];
    }
} 
3
  • 2
    Solo como añadido la fuente donde se puede encontrar esta restricción es aquí: dev.mysql.com/doc/refman/5.6/en/prepare.html
    – Xerif
    el 31 ago. 2017 a las 18:03
  • Muchas gracias @Xerif he añadido la nota traducida, actualizando la URL a la versión 8 de la documentación, pues ya no estamos en la versión 5. :) Saludos.
    – A. Cedano
    el 31 ago. 2017 a las 18:28
  • Ok @A. Cedano . Mucha gente piensa que esto es una restricción de PDO cuando en realidad es del SGBD. Un saludo.
    – Xerif
    el 31 ago. 2017 a las 18:36

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.