0

Estou iniciando com a classe PDO e tenho insegurança em trabalhar com a mesma, será que estou trabalhando da forma mais segura (quando falamos de segurança dos dados)?

Sei que há centenas de parâmetros no PDO, como bind, etc. Mas dessa forma que estou trabalhando é seguro?

Para conectar:

try
{
    $conn = new PDO("mysql:host={$dbhost};dbname={$dbname}", $dbuser, $dbpass);
    $conn ->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
    return $conn;
}
catch (PDOException $ex)
{
    echo "<br>Erro de conexão: " . $ex->getMessage();
    return false;
}

Para consultar:

if($result = $conn->query($sql))
{
    $rows = $result->fetchAll(PDO::FETCH_ASSOC);
    if(empty($rows))
        echo "<br>Sem resultados!<br>";
    $conn = null;
    return $rows;
}
else
{
    echo "<br>Sem resultados!<br>";
    return false;
}  

Para deletar:

if($result = $conn->query($sql))
{
    $stmt = $conn->prepare( $sql );
    if($result = $stmt->execute())
            echo "<br>Deletado!<br>";
    else
        echo "<br>Query inválida!<br>";

    $conn = null;

    return true;
}
else
{
    echo "<br>Query inválida!<br>";
    return false;
}

Para inserir e atualizar:

if($stmt = $conn->prepare( $sql ))
{
    if($result = $stmt->execute())
            echo "<br>Inserido!<br>";
    else
        echo "<br>Query inválida!<br>";

    $conn = null;
    return true;
}
else
{
    echo "<br>Query inválida!<br>";
    return false;
} 

Talvez com bind pudesse ficar mais seguro, mas como usar quando se passa parâmetros para função? Dessa forma já está seguro? E há alguma linha inutilizada no meu código?

8
  • Não da para dizer exatamente, o que não pode é inserir variáveis direto na consulta, sobre a outra dúvida veja => pt.stackoverflow.com/a/33528/91
    – rray
    23/12/2015 às 21:39
  • No caso de consulta, estou pegando os parâmetros da função (coluna, where, ordem, limite e like) fazendo um tratamento nelas (como concatenar a expressão da variável where com a string "WHERE" etc) e depois concatenando todos esses parâmetros na variável sql, um exemplo da variável sql seria "SELECT * FROM usuarios WHERE nome = 'stack' ORDER BY ASC". Isso seria seguro?
    – Leonardo
    23/12/2015 às 21:44
  • Depende de onde vierem esses dados que você concatena na consulta.
    – bfavaretto
    23/12/2015 às 22:09
  • Viram geralmente de formulários de outras páginas por post (exceto o id que será por get) .
    – Leonardo
    23/12/2015 às 22:17
  • 2
    Olha esta resposta, ou mesmo esta resposta aqui, apesar de utilizarem o método bind_param que é igual ao bindParam do PDO pode-se conseguir o mesmo feito. Como já antes disse, desde que à consulta esteja corretamente formada não haverá problemas quando fores utilizar o bind ou mesmo o execute([array]).
    – Edilson
    23/12/2015 às 22:38

1 Resposta 1

2

Em complemento ao que disse nos comentários, gostaria de acrescentar que escrever scripts na forma procedural utilizando o PDO, pode ser um bocadinho mais complicado se estiveres a usar funções relacionadas entre si. Nos exemplos que colocaste na tua pergunta, omitiste a primeira parte em todos os exemplos, deixando o problema meio vago.

Outra coisa é o problema. Como tu mesmo disseste, estás a concatenar partes de modo a obter uma queryString final que seja executada sem quaisquer problemas.

Apesar de teres citado « estou pegando parâmetros da função (coluna, where, ordem, etc) », ficou pouco claro sobre àquilo a que te referias, e neste momento continuo a não saber se coluna ou where são funções individuais ou são argumentos de uma única função. Ao menos já se consegue ver que não estás a utilizar OOP, mas continua pouco claro se estás a escrever o código por blocos agrupados em funções ou blocos separados por diferentes ficheiros.

De qualquer das formas irei responder à pergunta com um exemplo, embora tenha feito o uso de funções e tenha quebrado o código em diferentes partes para aumentar a legibilidade ao máximo possível, espero que esta cumpra com o pretendido.

Um factor prioritário é o tratamento dos erros, lançados através de exceções pelo PDO, no entanto tratei apenas dos erros durante a conexão com o servidor. Para isso fez-se algo simples, fez-se o uso de uma closure, e defini também 2 variáveis cruciais para o funcionamento do script.

conectar

$prepare = $rows = "";
$pdo = function ()
{
    try{
        $pdo = new PDO('mysql:host=localhost;dbname=example;charset=utf8;', 'root', '');
        return $pdo;    
        } catch(PDOException $e){
        die($e->getMessage());  
    }   
};

A segunda coisa a ser feita, foi a criação de uma função que capaz de executar qualquer consulta SQL que lhe seja fornecida, e retorna true, caso essa consulta seja executada.

executar qualquer query

function query($sql, $parametros)
{
    global $pdo;
    global $prepare;    
    if($prepare = $pdo()->prepare($sql))
    {   
        foreach($parametros as $key=> &$valor){
            $prepare->bindParam(":{$key}", $valor);
        }

        //return $prepare->debugDumpParams();

        if($prepare->execute()){
            return true;    
        }   
    }
    return false;
}

Até aqui está tudo normal e a funcionar, mas ainda assim, a ideia continua vasta, tanto para os diferentes tipos de consulta - select, delete, insert, update - como para as varias cláusulas e outras funções que podem ser executados na consulta final através dessa função query. O que fazer é óbvio, distribuir tarefas, criando terceiros capazes de fornecer a queryString num estado em que a função query terá apenas de executar, independente do que chega através dela.

executar queries do tipo select e delete

function accao($accao, $tabela, $argumentos = array())
{
    if(!empty($accao) && !empty($tabela) && !empty($argumentos)){
        $campo = $argumentos[0];
        $valor = strtoupper($argumentos[1]) === "LIKE" ?  array($campo=>"%{$argumentos[2]}%") : array($campo=>$argumentos[2]);
        $operador = $argumentos[1];
        $order = isset($argumentos[3]) ? order($accao, $argumentos[3]) : order($accao);
        $marcador = strtoupper($operador) === "IN" ? '(' . parametros($valor, 'param', true) . ')' : parametros(array($campo=>$valor), 'param', true);
        $sql = "{$accao} FROM {$tabela} WHERE {$campo} {$operador} {$marcador} {$order}";
        if(query($sql, $valor)){
            return true;    
        }   
    }
    return false;   
}

Esta função recebe um comando accao - select, insert, delete, update - e analisa os restantes parâmetros para a queryString com base nessa accão, e coloca-os como parte dela, assim consegue-se sempre uma queryString válida.

Como parte dessa função temos também a função order, que resolve unicamente a questão da ordem, e funciona apenas se à consulta for referente ao SELECT, caso contrário nenhum parâmetro adicional é retornado - « string vazia ».

ordenar

function order($args, $set = null)
{
    if(strtoupper($args) === "SELECT" || "SELECT *"){
        if(isset($set) && !is_numeric($set)){
            if(!empty($set)){
                $order = "ORDER BY {$set} ASC"; 
            } else {
                $order = "ORDER BY {$set} DESC";    
            }   
        } else {
            $order = "";    
        }
        return $order;  
    }   
    return false;   
}

INSERT

function insert($tabela, $campos=array())
{
    if(!empty($tabela)){
        if(!empty($campos) && is_array($campos)){
            $valores = parametros($campos, 'param', true);  
            $colunas = parametros($campos, 'coluna');
            $sql = "INSERT INTO {$tabela} ({$colunas}) VALUES ({$valores})";
            if(query($sql, $campos)){
                return true;    
            }
        }   
    }   
    return false;   
}

UPDATE

function update($tabela, $id, $campos)
{
    if(!empty($tabela) && !empty($id)){
        if(!empty($campos) && is_array($campos)){
            $campos['id'] = $id;    
            $set = parametros($campos, 'update', true);
            $equals = parametros(['id'=>$id], 'update', true);
            $sql = "UPDATE {$tabela} SET {$set} WHERE {$equals}";
            if(query($sql, $campos)){
                return true;    
            }   
        }   
    }   
    return false;   
}

Tanto a função insert como a update dependem da função parametros, responsável por fornecer os parâmetros :nomeados/(?), e também alguns parâmetros adicionais.

parametros

function parametros($args = array(), $tipo=null, $named = false)
{
    $coluna = isset($args['colunas']) ? $args['colunas'] : array_keys($args);
    $i=1;
    $param='';
    foreach($args as $key=>$arg){
        if(!empty($tipo) && $tipo === 'update'){
            if($named){
                $param .= "{$key} = :{$key}";       
            } else {
                $param .= "{$key} = ?";     
            }   
        } else {
            if($named){
                $param .= ":{$key}";    
            } else {
                $param .= "?";  
            }       
        }
        if($i < count($args)){
            $param .= ', '; 
        }
        $i++;
    }
    if(!empty($tipo)){
        switch($tipo){
            case 'coluna':
                $retorno = implode(', ', $coluna);
                break;  
            case 'param':
                $retorno = $param;
                break;  
            default:
                $retorno = ['colunas'=>implode(', ', $coluna), 'values'=>$param];   
                break;  
        }
        return $retorno;    
    }
    return ['colunas'=>implode(', ', $coluna), 'values'=>$param];   
}

A função select e delete dependem unicamente da função accao que faz grande parte do trabalho por elas.

SELECT

function select($tabela, $campos=array())
{
    global $prepare;    
    if(accao("SELECT *", $tabela, $campos)){
        $all = $prepare->fetchAll(PDO::FETCH_OBJ);
        return $all;
    }   
    return false;
}

DELETE

function delete($tabela, $campos=array())
{
    global $prepare;
    global $rows;
    if(accao("DELETE", $tabela, $campos)){
        $rows = $prepare->rowCount();   
        return true;
    }
    return false;   
}

Para executar qualquer tipo de consulta, seria assim:

query('SELECT * FROM jogos WHERE nome = ?', ['nome'=>'Edilson', 'apelido'=>'Samuel']));

Para realizar um insert:

var_dump(insert('jogos', ['nome'=>'Something Awful', 'console'=>'XBOX']));

Para realizar um update:

var_dump(update('jogos', 17, ['nome'=>'Something Creepy', 'console'=>'XBOX']));

Para realizar um select:

var_dump(select('jogos', ['id','>', '10']));

Para realizar um delete:

var_dump(delete('jogo', ['id','=', '18']));

Na consulta com o delete utilizou-se a variável $rows para armazenar o número de consultas removidas, e esse valor pode ser lido normalmente.

if(!empty($rows)){
    print "Removidos:" . $rows; 
}

Apesar de ser um exemplo extenso, pode-se ver como vários tipos de consulta são formadas, através de vários parâmetros que podem ou não variar consoante o tipo de consulta solicitada. Todas as consultas têm como termino a função query, onde os valores/variáveis são vinculados(as) aos respectivos marcadores e posteriormente executadas.

Este é um exemplo antigo, com modificações superficiais, e funciona de forma semelhante aos métodos que os framework utilizam, apesar de mais complexos e aperfeiçoados têm um funcionamente semelhante. Uma queryString pode ser construída através de processos mais simples, o uso de funções/métodos simplesmente faz com que estes blocos sejam reutilizáveis, e também os organiza.

1
  • 1
    Ótima resposta, +1.
    – rray
    24/12/2015 às 14:43

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .