2

Segue o código:

$campo = $_POST['campo'];
        $valor = $_POST['valor'];
        $id = $_POST['id'];

        $mysqli = new mysqli("localhost","root","","tabela");
        mysqli_set_charset($mysqli,"utf8");
        $consulta = $mysqli -> prepare("UPDATE tabela SET ? = ? WHERE ID = ?");
        $consulta -> bind_param("sss",$campo,$valor,$id); <-------
        $consulta -> execute();

Erro ocorre na linha com a flechinha, erro por escrito:

Call to a member function bind_param() on a non-object

Erro deve estar ocorrendo devido ao CAMPO está com placeholder(?), pois eu substitui pelo Campo por escrito e funcionou, ou seja, a query não é feita com o campo com placeholder.

Só que o campo do meu código vai depender de qual campo o cliente escolheu para editar na tabela.

A não ser que eu faça 10 queries (são 10 campos), e determino cada campo no lugar do placeholder.

Primeiro, isso ocorre mesmo? E se sim, o que posso fazer como boa prática, para este caso?

1
  • Ah, sim, todos os POSTS são recebidos com sucesso, o erro mesmo, que para mim é novo, é saber que não posso usar placeholder(caracterisca do prepared statements) no campo(SET = ?(campo)).. Como disse, eu substitui o placeholder(?) pelo nome do campo(SET = Rua(campo)) e funcionou, mas para meu caso isso não serviria, já que o Campo podem ser 10, isso depende do que o cliente escolher para dar o update!..
    – Ale
    20/01/2015 às 0:49

1 Resposta 1

2

Isso é consistente com o funcionamento das consultas preparadas. Elas podem ter placeholders para valores mas não para toda a sintaxe da consulta, caso contrário não faria sentido usar um recurso que justamente tenta cachear a query (portanto ela precisa ser conhecida por completo) e dar segurança (portanto ela não pode permitir que qualquer informação seja colocada na sintaxe da consulta).

Eu já havia alertado em outra resposta para o fato de que o preprared() não é essa maravilha toda, embora eu não disse que não deveria usá-lo, afinal ele tem utilidade. Aparentemente você gostou mais da resposta que não questiona o uso de um recurso que não é panacéia.

Não estou dizendo para abandonar o seu uso, apenas digo que você terá que criar um consulta preparada para cada campo que pode ser utilizada. Obviamente que em consultas tão heterogêneas a vantagem da performance será menos aproveitada.

Se isso for muito trabalhoso você até poderá optar pela query normal para fazer o que deseja de forma "mais fácil". Mas se não souber bem o que está fazendo para garantir que esta flexibilidade não seja explorada você brincará com o perigo.

O que você pode fazer para facilitar o uso da consulta preparada é montar o texto da query na mão e usar placeholder apenas onde ele pode ser usado. É um misto entre as duas técnicas. Se a lista de campos que podem ser usados está só no seu código no servidor e não vem de fora você terá segurança que não haverá injeção de código. Algo assim:

$consulta = $mysqli->prepare("UPDATE tabela SET $campo = ? WHERE ID = ?");
$consulta->bind_param("ss", $valor, $id);

Coloquei no GitHub para referência futura.

Mas não pegue o campo de $_POST['campo'], caso contrário estará se arriscando, monte um array no código e selecione uma opção de acordo com uma seleção que vem de fora. Dar flexibilidade demais para o usuário compromete a segurança.

1
  • Havia pensando nessa do cachear e da questão de segurança! Agora entendi realmente o que aconteceu, e apliquei essa técnica mista, e funcionou. Não havia visto sua resposta no outro tópico e se mostrou mais completa e detalhada, então eu revi o meu conceito, parabéns pelas explicações, estão em nível e bem detalhadas, agradeço pelo conhecimento!
    – Ale
    20/01/2015 às 1:42

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .