Análise do código
A sua implementação está correta, pois ao passar os valores de uma consulta como array para a função PDOStatement::execute, ela irá preparar os parâmetros recebidos tratando os todos como PDO::PARAM_STR
, isto é, todos os parâmetros recebidos serão tratados como uma string e não terá riscos de sofrer uma Sql Injection, a não ser que os valores sejam concatenados antes em sua query.
No exemplo abaixo, utilizo um array como terceiro parâmetro, mas será explicado o motivo mais adiante.
// Forma vulnerável
$nome = $_POST['nome'];
$valor = $_POST['valor'];
$query = 'INSERT INTO REGISTRY (name, value) VALUES (' . $nome . ', ' . $valor . ')';
$resultado0 = executaConsulta($conecta, $query);
// 1º Forma correta
$query = 'INSERT INTO REGISTRY (name, value) VALUES (:name, :value)';
$valores = array(
':name' => $_POST['nome']
':value' => $_POST['value']
);
$resultado1 = executaConsulta($conecta, $query, $valores);
// 2º Forma correta
$query = 'INSERT INTO REGISTRY (name, value) VALUES (?, ?)';
$valores = array(
$_POST['nome']
$_POST['value']
);
$resultado2 = executaConsulta($conecta, $query, $valores);
// 3º Forma correta
// A função filter_input é utilizada para acessar variáveis globais de forma mais segura.
// Existem outras funções deste tipo. http://php.net/manual/pt_BR/book.filter.php
$query = 'INSERT INTO REGISTRY (name, value) VALUES (:name, :value)';
$valores = array(
':name' => filter_input( INPUT_POST, 'nome', FILTER_SANITIZE_STRING );
':value' => filter_input( INPUT_POST, 'value', FILTER_SANITIZE_STRING );
);
$resultado3 = executaConsulta($conecta, $query, $valores);
Sobre query preparadas ou prepared statements
Alguns bancos de dados permitem utilizar um recurso de reaproveitamento de consultas. Seria algo como preparar um texto onde apenas algumas palavras mudam, e cada vez que for utilizar esse texto, é necessário informar apenas quais são as novas palavras.
Entretanto, nem todos os banco de dados suportam este recurso (hoje não é mais o caso do MySQL), e como o PDO tem como objetivo ser uma interface prática para uso de vários drivers de banco de dados, tiveram que implementar uma maneira que este recurso pudesse ser utilizado quando necessário. Para resolver este problema, o recurso é simulado pela função.
Na documentação existe estes exemplos:
$stmt = $dbh->prepare("INSERT INTO REGISTRY (name, value) VALUES (:name, :value)");
$stmt->bindParam(':name', $name);
$stmt->bindParam(':value', $value);
// Inserindo uma linha
$name = 'one';
$value = 1;
$stmt->execute();
// Inserindo outra linha com diferentes valores
$name = 'two';
$value = 2;
$stmt->execute();
Forçando o PDO a usar queries preparadas nativas
Para forçar o PDO a sempre utilizar o recurso de queries preparadas nativas, adicione logo após iniciar a conexão:
$conexao->setAttribute(PDO::ATTR_EMULATE_PREPARES, false);
O PDO possui tratamento para se caso ocorra um erro, a versão emulada seja utilizada, porem existem algumas desvantagens em utilizar o recurso nativo em algumas versões
- Não tiram vantagens do cache resultando em perda de performance;
- Não podem ser executadas por alguns tipos de queries como "SHOW TABLES";
- Não comunicam bem com o tamanho de colunas em outras queries que usam "SHOW" retornando resultados distorcidos.
- Chamar várias vezes procedurespode causar perda de conexão.
Algumas informações complementares em https://stackoverflow.com/questions/10113562/pdo-mysql-use-pdoattr-emulate-prepares-or-not
Binding de valores e variáveis
No PDO existem dois métodos que permitem associar parâmetros às suas queries, sendo elas o PDOStatement::bindParam e PDOStatement::bindValue.
O bindParam
associa o nome de uma variável ao parâmetro da query, isto é, se o valor de uma variável for alterado e o método execute
for chamado novamente, a query será executada com o novo valor.
$stmt = $dbh->prepare("INSERT INTO REGISTRY (name) VALUES (:name)");
$stmt->bindParam(':name', $name);
// Inserindo uma linha
$name = 'one';
$stmt->execute();
// Inserindo outra linha com diferentes valores
$name = 'two';
$stmt->execute();
Já o bindValue
atribui um valor específico a um parâmetro de sua query, ou seja, para mudar o valor do parâmetro terá que chamar o método bindValue
novamente.
$stmt = $dbh->prepare("INSERT INTO REGISTRY (name) VALUES (:name)");
// Inserindo uma linha
$stmt->bindValue(':name', 'one');
$stmt->execute();
// Inserindo outra linha com diferentes valores
$stmt->bindValue(':name', 'two');
$stmt->execute();
Em ambos os métodos é possível especificar qual o tipo deve ser utilizado para tratar o valor do parâmetro da query. O bindParam
alem do tipo tambem é possível indicar outras opções como o tamanho máximo do valor.
Sugestões de melhorias
Melhoria no estilo de código
Recomendo dar uma lida na tentativa que a comunidade PHP tem feito de padronizar algumas coisas, a PSR-2 é um guia de como melhor formatar seu código. Melhorar este modelo é um bom ponto para começar a observar o que seu código pode melhorar e irá lhe auxiliar a encontrar tanto as falhas de segurança quanto alguns bugs.
Organização de parâmetros
Ao usar os parâmetros de forma "mágica" usando a função func_get_args()
você terá problemas ao documentar, pois a assinatura de sua função não deixa explícito que é possível passar mais argumentos, isso deixará outros desenvolvedores confusos com seu código.
No código apresentado, não há a necessidade de a função receber infinitos parâmetros, pois a única coisa que o código da função realiza é obter um array de tudo que foi passado, retirando o que já é conhecido.
Para tornar a assinatura mais clara, você poderá definir um terceiro parâmetro com um valor padrão, no caso um array vazio, pois a função execute
do PDO espera um array.
// Versão reescrita
function executaConsulta($conexao, $sql, $valores = array()){
$preparado = $conexao->prepare($sql);
$preparado->execute($valores);
$resultado = $preparado->fetchAll();
return $resultado;
}
Na função também troquei a função DOStatement::fetch() pela função DOStatement::fetchAll(), pois assim sua função sempre retornará todo o resultado obtido em um array. Trabalhar com array é muito mais fácil do que com os objetos do PDO.
Utilização da função
Ao utilizar a função, deixará mais claro se utilizar chaves no lugar do caractere curinga (?) assim como evitará que necessite passar o mesmo valor duas vezes, caso seja utilizado em dois lugares de sua query. Veja as duas possibilidades de uso:
// 1º forma
$sql = "SELECT * FROM se_professores WHERE id = ?";
$resultado1 = executaConsulta($conecta, $sql, array(1));
foreach ($resultado1 as $linha) {
echo $linha['nome'];
}
// 2º forma
$sql = "SELECT * FROM se_professores WHERE id = :id";
$valores = array(':id' => 1);
$resultado2 = executaConsulta($conecta, $sql, $valores);
foreach ($resultado1 as $linha) {
echo $linha['nome'];
}