9

Eu estava fazendo um select em uma tabela.

Fui ver o resultado, retornou false. Depois usei o query e deu certo.

Qual a diferença entre os dois?

<?php
   $query = DB::getConn()->prepare('select * from tabela where id in ('.$id.')');

   /*o prepare retornou false*/

   $query = DB::getConn()->query('select * from tabela where id in ('.$id.')');
 ?>
2
  • 1
    Está usando o PDO?
    – rray
    Commented 14/10/2015 às 20:47
  • 1
    Sim @rray tudo pela segurança
    – ndroid
    Commented 14/10/2015 às 20:49

4 Respostas 4

11

prepare() utiliza prepared statements uma fez feita a consulta ela é otimizada pelo banco e pode ser executada N vezes o que muda são os argumentos, seu uso evita problema com sql injection desde que usado corretamente.

query() realiza uma consulta simples, a cada chamada uma consulta é enviada para o banco, ao utilizar esse método o programador é responsável por sanitizar os valores passados.

Ambos retornam false, caso a consulta falhe, para obter mais detalhes sobre o erro chama o método errorInfo().

O uso correto seria, definir uma intorrogação para cada valor e passar um array para execute() por praticidade, isso também pode ser feito com bindValue() ou bindParam() caso exista alguma necessidade.

obs: com o código das duas primeiras linhas pode ser criado um método a parte somente para gerar as interrogações.

$ids = array(1,2,5,8);
$binds = implode(",", array_fill(0, count($ids), '?'));

$query = DB::getCon()->prepare('select * from tabela where id in ('. $binds .')' );
$query->execute($ids);

Caso queira compara apenas com id, pode simplificar dessa forma.

$query = DB::getCon()->prepare('select * from tabela where id = ?');
$query->execute(array(1));
//a partir do php5.4
//$query->execute([1]);

Leitura recomendada:

Por que consultas SQL parametrizadas(nome = ?) previnem SQL Injection?

Usar PDO é a maneira mais segura de se conectar a um BD com PHP?

Como prevenir injeção de código SQL no meu código PHP

Como usar PDO bindParam no IN() da query?

Bind dinâmico

1
  • ótima resposta!
    – DiChrist
    Commented 18/05/2017 às 14:47
4

Query()

Com a função $stmt->query() as consultas são executadas juntamente com os valores nela passados, sem quaisquer tratamentos interno, sendo que, a parte de tratar desses valores de modo a torná-los seguros para a consulta, são deixados à escolha do programador. Se no caso você não irá passar parâmetros como GET ou POST, etc... esta é uma boa opção.

Prepare( )

A função $stmp->prepare(), é chamada de "Prepare Instatement" (Instruções preparadas).

A declaração preparada é um recurso usado para executar as mesmas (ou similares) instruções SQL repetidamente com alta eficiência. Declarações preparadas trabalham basicamente assim:

Prepare: Um modelo de instrução SQL é criado e enviado ao banco de dados. Certos valores não são especificados, chamados de parâmetros do tipo placeholder (identificado como "?" ou ":variavel").

Por exemplo: INSERT INTO TABELA VALUES (?,?,?)

O banco de dados analisa, compila e executa uma consulta otimizada no modelo de instrução SQL e armazena o resultado sem executá-lo.

Segue 4 exemplos de utilização com prepare statment através do objeto PDO:

    <?php
    /* Example one: Execute a prepared statement with placeholder */
    $sql = 'INSERT INTO tabela (cod, nome, email) VALUES (:codigo, :nome, :email)';

    $sth = $dbh->prepare($sql);
    $sth->execute(array(':codigo' => (int) 128,
                        ':nome' => 'ndroid',
                        ':email' => '[email protected]'));

  /* Example two: Execute a prepared statement with bind param method */
    $sql = 'INSERT INTO tabela (cod, nome, email) VALUES (:codigo, :nome, :email)';

    $valor1 = '128';
    $valor2 = 'ndroid';
    $valor3 = '[email protected]';

    $sth = $dbh->prepare($sql);
    $sth->bindParam(":codigo", $valor1, PDO::PARAM_INT);
    $sth->bindParam(":nome", $valor2, PDO::PARAM_STR);
    $sth->bindParam(":email", $valor3, PDO::PARAM_STR);
    $sth->execute();

 /* Example three: Execute a prepared statement with bind value method */
    $sql = 'INSERT INTO tabela (cod, nome, email) VALUES (:codigo, :nome, :email)';

    $sth = $dbh->prepare($sql);
    $sth->bindValue(":codigo", (int) 128, PDO::PARAM_INT);
    $sth->bindValue(":nome", 'ndroid', PDO::PARAM_STR);
    $sth->bindValue(":email", '[email protected]', PDO::PARAM_STR);
    $sth->execute();

 /* Example four: Execute a prepared statement with sequence */
    $sql = 'INSERT INTO tabela (cod, nome, email) VALUES (?, ?, ?)';

    $sth = $dbh->prepare($sql);
    $sth->execute(array((int) 128,
                        'ndroid',
                        '[email protected]'));
    ?>

Execute: Após receber a query preparada, a aplicação liga os valores com os parâmetros associados, e o banco de dados executa a instrução. O sistema pode executar a declaração tantas vezes quanto ele quer com valores diferentes. Em comparação com a execução de instruções SQL diretamente.

Declarações preparadas têm duas vantagens principais:

  1. declarações preparadas reduz o tempo de análise como a preparação em que a consulta é feita apenas uma vez, embora a instrução é executada várias vezes, parâmetros vinculados minimizam a largura de banda para o servidor como você precisa enviar apenas os parâmetros de cada vez, e não toda a consulta.
  2. declarações preparadas são muito úteis contra injeções de SQL, porque os valores dos parâmetros, que são transmitidos posteriormente usam protocolo diferente, não precisa ser corretamente escapado, por métodos como strip_tags(), preg_replace(), etc. Se o modelo de declaração original não é derivado de entrada externa, a injeção de SQL não irá ocorrer.

- Para saber mais da função Query
- Para saber mais da função Prepare

1
  • Agora sim, +1 pela resposta.
    – rray
    Commented 4/07/2016 às 20:44
3

Utilizando o método prepare(), os valores para a consulta são passados através de parâmetros, que são tratados parcialmente à consulta. Consultas utilizando este método são preferíveis quando os parâmetros desejados são dinâmicos.

Com o método query() as consultas são executadas juntamente com os valores nela passados, sem quaisquer tratamentos interno, sendo que, a parte de tratar desses valores de modo a torna-los seguros para a consulta, são deixados à escolha do programador.

Utilizando as prepared statments com o PDO pode-se usar dois tipos de placeholders ou parâmetros:

  • O ponto de interrogação ( ? ).
  • O dois pontos seguido do nome do parâmetro desejado ( :nome ).

Não se pode usar os dois tipos de parâmetros na mesma consulta SQL, deve-se escolher um, e usar apenas esse parâmetro na consulta atual, sendo que os valores passados, não devem ser executados diretamente na consulta.

Outra coisa é o facto que que o PDO vai emular as prepared statments para os drivers não suportados por ele nativamente, e nem todos os drivers suportam ambos os tipos.

Usando o ponto de interrogação ( ? ):

$query = DB::getConn()->prepare('select * from tabela where id in (?)');
$query->execute(array(1));

Usando o parâmetro nomeado ( :nome ):

$query = DB::getConn()->prepare('select * from tabela where id in (:nome)');
$query->execute(array(':nome'=>1));

Usando o ponto de interrogação para um número de parâmetros desconhecido:

$values = array(1,2,3,4,5,6,...n);

foreach ($values as $val)
{
    $params[] = '?';
}

$query = DB::getConn()->prepare('select * from tabela where id in ('.implode(",", $params).')');
$query->execute($values);

Várias entradas, para 2 campos específicos da tabela SQL:

foreach($values as $id=>$val){
$params[] = '(?, ?)';
$binds['campo1' . $i] = $val; 
$binds['campo2' . $i] = $val;   
$i++;
}

$sql = "INSERT INTO x (campo1, campo2) VALUES ". implode(",", $params);

Ou ainda, vários parâmetros nomeados, para 2 campos específicos da tabela SQL:

foreach($values as $id=>$val){
    $params[] = '(:campo1' . $i . ', :campo2' . $i . ')';
    $binds['campo1' . $i] = $val; 
    $binds['campo2' . $i] = $val;   
    $i++;
}

$sql = "INSERT INTO x (campo1, campo2) VALUES ". implode(",", $params);

Algumas referências:

Writing MySQL script with PHP and PDO

PDO Prepared Statments - PHP.net

PDO Query - PHP.net

1

Prepare apenas prepara uma instrução e retorna um resource chamado de Prepared Statement, ou seja, um objeto de instrução SQL pré compilado que aguarda apenas ser executado.

Query executa uma instrução e retorna um resource que é um ponteiro para um resultset.

Prepare é útil para evitar problemas com argumentos (não só SQL injection) e permite uma melhor utilização para instruções que precisem ser executadas repetidas vezes, aumentando em muito a performance.

No seu código

$query = DB::getConn()->prepare('select * from tabela where id in ('.$id.')');

não seria tão útil, pois o argumento já está inserido na string de consulta.

Usar Prepared Statement tem desvantagens na hora de fazer debug, pois você não conseguirá recuperar exatamente a Instrução SQL com os argumentos preenchidos.

0

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .