3
$type = 'post';
$stmtPG = $conn->prepare("SELECT count(*) FROM myTable WHERE entry_type = :type");
$stmtPG->bindParam(':type', $type);
$stmtPG->execute();
$total = $stmtPG->fetchColumn();
$total_paginas = ceil($total/$maximo);

Há um tempo atras eu vi em uma pergunta aqui do stackoverflow que um cara falou que não precisa preparar valores de constantes, eu também tinha dado uma pesquisada no google sobre prepared statement, mas eu não entendi direito.

Como esse codigo deveria ser?

Edit:

$stmtPG = $conn->query("SELECT count(*) FROM myTable WHERE entry_type = 'post'");
$total = $stmtPG->fetchColumn();
$total_paginas = ceil($total/$maximo);
1
  • Basicamente uma constante é um valor que não muda, se você sabe qual é o valor inicial dela não tem o porque de escapa-la, agora se o valor dela é dinâmico (vem da entrada do usuário) é necessário assim como todas as outras entradas. Lembre, nunca confie nos dados do seu cliente
    – Costamilam
    Commented 24/09/2018 às 17:03

3 Respostas 3

2

Prepared Statement

De forma resumida: você estará preparandosua query de forma protegida para evitar ataques como o sql injection e também ganhará mais performance na execução da consulta.

Devemos sempre proteger os dados que vem do front, ou seja, que são enviados pelo usuário. No seu caso, a variável que faz parte da consulta já está diretamente no código, então não é necessário realizar a preparação (a menos que o valor da variável seja malicioso. Qual desenvolvedor faria isso?).

Nesse caso, sua consulta poderia ficar assim:

$type = 'post';
$stmtPG = $conn->query("SELECT count(*) FROM myTable WHERE entry_type = " .$type);    
$total = $stmtPG->fetchColumn();
$total_paginas = ceil($total/$maximo);

Caso o valor da variável $type viesse de fora, por exemplo, de um POST = $_POST['tipo'], a preparação da consulta seria de extrema importância.

Aqui deixo algumas referências para estudo:

Sql Injection

Como acontece um SQL injection?

Como prevenir injeção de código SQL no meu código PHP?

Artigo sobre Prepared Statements

6
  • Com o código que você me mostrou está aparecendo um erro dizendo que a coluna post não existe. No meu caso post é o valor da coluna entry_type. Eu tentei fazer de outro jeito aqui, olha o meu edit da questão.
    – Susi
    Commented 24/09/2018 às 17:00
  • 1
    Evitar SQL Injection é uma das vantagens de usar Prepared Statement, mas não é só pra isso quer serve, ele também aumenta a performance de consultas repetidas
    – Costamilam
    Commented 24/09/2018 às 17:00
  • @Susi editei a resposta, dê uma olhada. Commented 24/09/2018 às 17:06
  • @GuilhermeCostamilam realmente, esqueci de acrescentar essa informação. Commented 24/09/2018 às 17:07
  • 1
    @Susi, coloquei como variável pois no seu exemplo o valor está armazenado na variável, mas poderia colocar diretamente na query. Commented 24/09/2018 às 21:14
1

Partindo do principio que você sabe o que é SQL Injection

Primeiro precisa entender uma coisa, o Prepared Statement tem duas funcionalidades:

  • Escapar valores (se bem utilizado)
  • Otimizar buscas repetidas

Então você deve usa-lo sempre que possível, não necessariamente pela primeira mas pela segunda. Agora se você irá passar os valores pelo bindParam depende se você sabe que valor é esse, e não se o valor é ou não uma constante

Por exemplo imagina que você possui uma classe que faz algumas consultas com paginação:

class Paginacao {
    private $itensPorPagina;

    public function __construct($itensPorPagina) {
        $this->itensPorPagina = $itensPorPagina;
    }

    public function buscarPorNome($nome) {
        $stmtPG = $conn->prepare("SELECT * FROM usuarios WHERE nome = :nome LIMIT $this->itensPorPagina");
        $stmtPG->bindParam(':nome', $name, PDO::PARAM_STR);

        //...
    }

    public function buscarPorTelefone($telefone) {
        $stmtPG = $conn->prepare("SELECT * FROM usuarios WHERE telefone = :telefone LIMIT $this->itensPorPagina");
        $stmtPG->bindParam(':telefone', $telefone, PDO::PARAM_STR);

        //...
    }
}

Então você usaria dessa forma

$paginacao = new Paginacao(25);

$paginacao->buscarPorNome($_GET["nome"]);

Observe que itensPorPagina não é uma constante, mas quem define seu valor é o programador na hora de instanciar a classe Paginacao

Você não precisa passar o itensPorPagina por bindValue porque você sabe que o valor dele é apenas um inteiro de valor 25, o fato de ser uma constante não tem nada a ver

Agora se fosse uma variável que viesse do usuário, como o nome e telefone, então sim, você precisa passar por bindParam para evitar SQL Injection

Conclusão

Você não precisa passar variáveis como parâmetro em instruções SQL se você sabe qual é o seu valor. Só passe aquilo que é duvidoso (entradas do usuário)

2
  • Mas porque você usou um named paramter no valor de nome? ":nome". Pelo que eu entendi o valor de nome não iria vir do usuário, então não sei porque você colocou ele no bindParam. PS: Eu não costumo usar o bindParam e menos ainda em uma function então eu posso estar falando besteira.
    – Susi
    Commented 24/09/2018 às 18:15
  • Pelo contrário, nome virá da entrada do usuário, atualizei a pergunta, veja se ficou mais claro
    – Costamilam
    Commented 24/09/2018 às 20:07
1

É preciso levar em conta que Prepared Statements não servem exclusivamente para evitar SQL Injection, a outra grande vantagem é que o SGBD faz cache do Statement para que não precise compilar novamente uma query igual.

Dito isso, eu usaria bindParam mesmo que o valor seja uma constante pois as queries:

SELECT count(*) FROM myTable WHERE entry_type = 'post';
SELECT count(*) FROM myTable WHERE entry_type = 'page';

Teoricamente seriam compiladas duas vezes pelo servidor, onde uma Prepared Statement só seria compilada uma vez e o cliente apenas enviaria os parâmetros para o servidor.

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .