Utilizando o método prepare()
, os valores para a consulta são passados através de parâmetros, que são tratados parcialmente à consulta. Consultas utilizando este método são preferíveis quando os parâmetros desejados são dinâmicos.
Com o método query()
as consultas são executadas juntamente com os valores nela passados, sem quaisquer tratamentos interno, sendo que, a parte de tratar desses valores de modo a torna-los seguros para a consulta, são deixados à escolha do programador.
Utilizando as prepared statments com o PDO
pode-se usar dois tipos de placeholders ou parâmetros:
- O ponto de interrogação ( ? ).
- O dois pontos seguido do nome do parâmetro desejado ( :nome ).
Não se pode usar os dois tipos de parâmetros na mesma consulta SQL, deve-se escolher um, e usar apenas esse parâmetro na consulta atual, sendo que os valores passados, não devem ser executados diretamente na consulta.
Outra coisa é o facto que que o PDO vai emular as prepared statments para os drivers não suportados por ele nativamente, e nem todos os drivers suportam ambos os tipos.
Usando o ponto de interrogação ( ? ):
$query = DB::getConn()->prepare('select * from tabela where id in (?)');
$query->execute(array(1));
Usando o parâmetro nomeado ( :nome ):
$query = DB::getConn()->prepare('select * from tabela where id in (:nome)');
$query->execute(array(':nome'=>1));
Usando o ponto de interrogação para um número de parâmetros desconhecido:
$values = array(1,2,3,4,5,6,...n);
foreach ($values as $val)
{
$params[] = '?';
}
$query = DB::getConn()->prepare('select * from tabela where id in ('.implode(",", $params).')');
$query->execute($values);
Várias entradas, para 2 campos específicos da tabela SQL:
foreach($values as $id=>$val){
$params[] = '(?, ?)';
$binds['campo1' . $i] = $val;
$binds['campo2' . $i] = $val;
$i++;
}
$sql = "INSERT INTO x (campo1, campo2) VALUES ". implode(",", $params);
Ou ainda, vários parâmetros nomeados, para 2 campos específicos da tabela SQL:
foreach($values as $id=>$val){
$params[] = '(:campo1' . $i . ', :campo2' . $i . ')';
$binds['campo1' . $i] = $val;
$binds['campo2' . $i] = $val;
$i++;
}
$sql = "INSERT INTO x (campo1, campo2) VALUES ". implode(",", $params);
Algumas referências:
Writing MySQL script with PHP and PDO
PDO Prepared Statments - PHP.net
PDO Query - PHP.net