5

Estava vendo um script em php e reparei que toda vez em que se escrevia uma consulta SQL, era utilizado este "operador".

Uma parte do código

$sql = "INSERT INTO categorias (nome) VALUES(:nome)";
$stmt = DB::prepare($sql);
$stmt->bindParam("nome", $data->nome);

Então, qual o motivo dele usar este "operador"?

2
  • 1
    A princípio esse operador não existe no MySQL (dev.mysql.com/doc/refman/5.0/en/comparison-operators.html). Tem certeza de que não é um símbolo, usado por algum ORM ou Framework de persistência, que indica "bind" de parâmetros (O JPA do Java por exemplo usa atribuição de parâmetros dessa forma)?
    – Wakim
    Commented 25/07/2014 às 15:57
  • Hum, agora eu entendi, é por causa do "bind"
    – Meeeefiu
    Commented 25/07/2014 às 15:59

3 Respostas 3

7

Esta sintaxe é utilizada pela PDO para anexar parâmetros aos prepared statements através da função bindParam().

É bem útil para implementar a segurança na hora de utilizar informações vindas de formulários, ou até mesmo pela dinamicidade de uma query.

Exemplo:

<?php
/* Execute a prepared statement by binding PHP variables */
$calories = 150;
$colour = 'red';
$sth = $dbh->prepare('SELECT name, colour, calories
    FROM fruit
    WHERE calories < :calories AND colour = :colour');
$sth->bindParam(':calories', $calories, PDO::PARAM_INT);
$sth->bindParam(':colour', $colour, PDO::PARAM_STR, 12);
$sth->execute();
?>

Fonte: http://php.net/manual/pt_BR/pdostatement.bindparam.php

5

Amigo, você não mostrou todo seu código mas creio que este =: não é um "operador".

A interpretação correta seria = e :id, onde o :id está relacionado ao parâmetro de nome id que deve ser passado no momento da execução.

Mais informações aqui.

1
  • fiquei meio tonto lendo a explicação :D
    – neoprofit
    Commented 25/07/2014 às 20:16
4

Apesar de representarem a mesma coisa, parâmetros e placeholders se distinguem na forma como são apresentados num statement.

Parâmetros são nomeáveis, permitindo que sejam identificados de forma fácil em meio a todos os termos da pseudo-linguagem SQL. Por se tratar de uma string simples, requer algo que os permitam ser identificados durante a interpretação pelo SGBD. Essa forma de identificação normalmente é o caractere de dois-pontos.

Placeholders, no entanto, não são nomeáveis. Eles apenas reservam um lugar para os valores reais. A estes normalmente utiliza-se uma interrogação (?) em meio ao statement.

Parâmetros, ou named placeholders, tem como vantagem a facilidade de interação com argumentos dinâmicos uma vez que é feita uma associação chave/valor, ou seja, os parâmetros encontrados no statement são procurados na lista de parâmetros vinculados e uma substituição simples é feita.

Placeholders, porém, são numericamente indexados e são dispostos no statement por suas posições e, por isso requerem um pouco mais de atenção, caso contrário você pode acabar acidentalmente vinculando (binding) um inteiro à uma coluna no banco que represente um float e, na melhor das hipóteses, receber um resultado incorreto.


Antes de saber o porquê dos dois-pontos serem utilizados numa query, você tem de entender o que são prepared statements e como eles diferem de uma execução direta.

Vejamos o fluxo de trabalho típico ao se usar um prepared statement:

  • Prepare

É criado um modelo da declaração (statement) pela Aplicação e enviado ao SGBD. Dos valores atribuídos na query, alguns podem ser omitidos. À estes dá-se o nome de parâmetros, placeholders ou variáveis vinculadas (bind variables).

INSERT INTO PRODUCT (name, price) VALUES (:name, :price)

Ou

INSERT INTO PRODUCT (name, price) VALUES (?, ?)

O SGBD analisa, compila e executa uma série de otimizações no modelo da declaração e armazena o resultado sem executá-lo.

  • Execute

Mais tarde, a Aplicação fornece (ou vincula - bind) valores para os parâmetros e o SGBD executa a declaração possivelmente retornando algum resultado. A Aplicação pode executar a mesma declaração tantas vezes quantas ela precisar, com tantos argumentos diferentes quantos ela puder ou precisar fornecer.

Por quê usar?

Se compararmos com a execução direta das declarações, prepared statements possuem duas principais vantagens:

  • O custo, em termos de processamento, para se compilar e otimizar a declaração incorre uma única vez, mesmo que a mesma seja executada múltiplas vezes. No entanto vale salientar que nem todas as técnicas de otimização haja vista que a melhor otimização depende do tipo de argumento recebido assim como a melhor estratégia hoje pode não servir num futuro, próximo ou não, dadas as possíveis mudanças seja na estrutura, sejam nos índices de uma tabela.

  • Prepared statement são resilientes a Injeção de SQL porque os valores utilizados posteriormente são transmitidos por um protocolo diferente, que não requer que seus dados sejam devidamente escapados.

Há quem diga que prepared statements não são tão vantajosos para queries executadas uma única vez dado todos os procedimentos extras e que isso pode ser uma penalidade performática para a Aplicação. Eu discordo pois isso depende de N fatores, desde a escalabilidade do hardware até o quão bem programada a Aplicação foi.

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .