Sentencias preparadas

¡Bienvenido a la siguiente lección! En esta lección aprenderá sobre las sentencias preparadas y cómo hacen que sus interacciones con la base de datos sean seguras y eficientes. ¡Comencemos!

¿Qué son las sentencias preparadas?

Las sentencias preparadas son una función de los sistemas de gestión de bases de datos que permite ejecutar consultas SQL de forma segura y eficiente. Separan el código SQL de los datos, lo que evita los ataques de inyección SQL.

Ejemplo: Utilizar marcadores de posición (:name, :email) en lugar de insertar directamente los datos proporcionados por el usuario en la consulta.

¿Por qué utilizar sentencias preparadas?

Las sentencias preparadas ofrecen varias ventajas:

• Seguridad: Evitan la inyección SQL al escapar las entradas de los usuarios.
• Eficiencia: Permiten reutilizar la misma sentencia con datos diferentes, lo que reduce el tiempo de análisis de las consultas.
• Mantenibilidad: Hacen que el código sea más fácil de leer y depurar.

Punto clave: Utilice siempre sentencias preparadas al trabajar con datos proporcionados por los usuarios.

Creación de una sentencia preparada

Para crear una sentencia preparada, siga estos pasos:

1. Escriba la consulta SQL con marcadores de posición.
2. Prepare la consulta mediante la conexión a la base de datos.
3. Asocie valores a los marcadores de posición.
4. Ejecute la sentencia.

Ejemplo:

Consejo: Utilice matrices asociativas para asociar valores fácilmente.

<?php
  $sql = "INSERT INTO users (name, email) VALUES (:name, :email)";
  $stmt = $pdo->prepare($sql);
  $stmt->execute(["name" => "Alice", "email" => "alice@mail.com"]);
?>

Asociación de valores

Utilice los métodos bindParam() o bindValue() para asociar valores a los marcadores de posición. Ejemplo:

<?php
  $stmt = $pdo->prepare("INSERT INTO users (name, email) VALUES (:name, :email)");
  $stmt->bindParam(":name", $name);
  $stmt->bindParam(":email", $email);

  $name = "Bob";
  $email = "bob@mail.com";
  $stmt->execute();
?>

Uso de sentencias preparadas para consultas SELECT

Las sentencias preparadas funcionan con todo tipo de consultas SQL, incluida SELECT. Ejemplo:

Consejo: Utilice fetchAll() para recuperar varias filas.

<?php
  $sql = "SELECT * FROM users WHERE name = :name";
  $stmt = $pdo->prepare($sql);
  $stmt->execute(["name" => "Alice"]);
  $result = $stmt->fetch(PDO::FETCH_ASSOC);

  echo "Name: " . $result["name"] . ", Email: " . $result["email"];
?>

Reutilización de sentencias preparadas

Las sentencias preparadas se pueden reutilizar con valores diferentes, lo que mejora la eficiencia. Ejemplo:

<?php
  $stmt = $pdo->prepare("INSERT INTO users (name, email) VALUES (:name, :email)");

  $users = [
    ["name" => "Charlie", "email" => "charlie@mail.com"],
    ["name" => "Dave", "email" => "dave@mail.com"]
  ];

  foreach ($users as $user) {
    $stmt->execute($user);
  }

  echo "Multiple records inserted successfully!";
?>

Prevención de la inyección SQL

Las sentencias preparadas escapan los caracteres especiales de las entradas de los usuarios, lo que evita los ataques de inyección SQL. Ejemplo:

<?php
  $sql = "SELECT * FROM users WHERE email = :email";
  $stmt = $pdo->prepare($sql);
  $stmt->execute(["email" => "' OR 1=1; --"]);
  $result = $stmt->fetch();

  if ($result) {
    echo "User found.";
  } else {
    echo "No user found.";
  }
?>

¡Buen trabajo!

¡Enhorabuena! Ha aprendido a utilizar sentencias preparadas en PHP para proteger sus interacciones con la base de datos. En la próxima lección, exploraremos técnicas avanzadas de consulta con JOIN y agregaciones. ¡Sigamos programando!