1

Fui informado de que estava fazendo de maneira incorreta, a frase dita foi a seguinte: "Não adianta nada usar uma API mais nova e manter os vícios da antiga mysql_*, você não deve passar os valores diretamente na instrução SQL, passe separados usando os placeholders para fazer a associação." E eu a levei como uma crítica construtiva e gostaria de saber mais sobre essa forma de passar valores, eu normalmente utilizo da seguinte forma:

$pdo=conectar();
$inserirregistro=$pdo->prepare("INSERT INTO tabela(coluna1,coluna2,coluna3,coluna4) VALUES ("valor1", "valor2", "valor3", "valor4")");
$inserirpedido->execute();

Qual seria a forma correta de realizar esta ação?

1

1 Resposta 1

2

Existem 3 maneiras de você fazer esse procedimento da maneira correta, usando com prepared statement:

  1. passando como parâmetro: $sth->bindParam(':param', $param);
  2. passando como valor: $sth->bindValue(':value', $value)
  3. passando como array() direto no execute: $sth->execute(array('param'=>$param))

Qualquer uma das formas já irá evitar SQL Injection. Para fazer uma inserção, você pode fazer destas formas:

EXEMPLO 1:

try {

    $dbh = new PDO('mysql:host=localhost;dbname=SeuBanco', $usuario, $senha);
    $dbh->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION); 

    $sth = $dbh->prepare("INSERT INTO tabela(coluna1,coluna2,coluna3,coluna4) VALUES (:valor1, :valor2, :valor3, :valor4);");

    $valor1 = 'exemplo de valor 1';
    $valor2 = 'exemplo de valor 2';
    $valor3 = 'exemplo de valor 3';
    $valor4 = 'exemplo de valor 4';

    $sth->bindParam(':valor1', $valor1);
    $sth->bindParam(':valor2', $valor2);
    $sth->bindParam(':valor3', $valor3);
    $sth->bindParam(':valor4', $valor4);

    $sth->execute();

} catch (PDOException $e) {
   echo 'Erro: ' . $e->getMessage();
} 

EXEMPLO 2:

 try {

     $dbh = new PDO('mysql:host=localhost;dbname=SeuBanco', $usuario, $senha);
     $dbh->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION); 

     $sth = $dbh->prepare("INSERT INTO tabela(coluna1,coluna2,coluna3,coluna4) VALUES (:valor1, :valor2, :valor3, :valor4);");

     $data = array(
                 'valor1' => 'exemplo de valor 1',
                 'valor2' => 'exemplo de valor 2',
                 'valor3' => 'exemplo de valor 3',
                 'valor4' => 'exemplo de valor 4'
            );

     $sth->execute($data);

 } catch (PDOException $e) {
       echo 'Erro: ' . $e->getMessage();
 } 

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .