3

Gostaria de saber qual a diferença, em nível de segurança, dos dois trechos de código abaixo:

// TRECHO 1
<?php
$calories = 150;
$colour = 'red';
$sth = $dbh->prepare('SELECT name, colour, calories
    FROM fruit
    WHERE calories < ? AND colour = ?');
$sth->bindParam(1, $calories, PDO::PARAM_INT);
$sth->bindParam(2, $colour, PDO::PARAM_STR, 12);
$sth->execute();
?>

// TRECHO 2
<?php
$calories = 150;
$colour = 'red';
$sth = $dbh->prepare('SELECT name, colour, calories
    FROM fruit
    WHERE calories < ? AND colour = ?');
$sth->execute(array($calories,$colour));
?>

No trecho 1, é usado o bindParam(), já no 2 os parâmetros são passados diretamente no execute, porem também é usado o prepare().

0

2 Respostas 2

5

Em termos de segurança não existe diferença nenhuma. Uma das diferenças é que bindParam() além de oferecer a tipagem do parâmetro(PDO::PARAM_STR, PDO::PARAM_INT etc) tem outros recursos obscuros para o uso de stored procedures. Veja a assinatura do método.

public bool PDOStatement::bindParam ( mixed $parameter , mixed &$variable [, int $data_type = PDO::PARAM_STR [, int $length [, mixed $driver_options ]]] )

Ao utilizar o execute() todos os parâmetros são enviados como PDO::PARAM_STR o maximo que pode acontecer é a sua consulta falhar caso tenha placeholder na clásula LIMIT/OFFSET.

Relacionado:

Qual a diferença entre bindParam e bindValue?

Usar PDO é a maneira mais segura de se conectar a um BD com PHP?

2
  • Se eu colocar a tipagem, e passar um parâmetro que não obedeça à mesma, ele converte e executa mesmo assim ou não executa? Commented 14/11/2015 às 17:09
  • Se você tipar um string como booleano vai funcionar, só vai ter problema no caso que citei na pergunta, prepared statements são emulados por padrão. @MiguelNeto
    – rray
    Commented 14/11/2015 às 20:11
3

Prática e teoricamente não há qualquer diferença, porque se fores analisar, no primeiro caso, onde usaste o bindParam, com placeholders do tipo simbólicos (?):

$sth->bindParam(1, $calories, PDO::PARAM_INT);

Usaste o número 1 como referência a esse placeholder.

Escrevendo os parâmetros em linha, junto com o método execute, não estás a fazer nada de diferente, cada valor recebe índices de acordo com o número de placeholders especificados.

$sth->execute( array( 0 => 150, 1 => 'red' ) ); 

Seria o mesmo que fazer:

$params = array(150,'red');
$sth->execute($params);

Se ainda tiveres dúvidas, recomendo que leias isto:

2
  • $sth->execute( array( 1 => 150, 2 => 'red' ) ); retorna: SQLSTATE[HY093]: Invalid parameter number: parameter was not defined. Se tirar o índice como segundo exemplo ou iniciar em zero ele não ocorre, só bindValue/Param precisam iniciar com 1.
    – rray
    Commented 13/11/2015 às 18:51
  • Persisti os índices na edição, era para tê-los removido, para que ficassem normais. O erro SQLSTATE[HY093]: Invalid parameter number:, deve-se ao índice 0, assinado como NULL, justamente por causa disso, ou seja, não existe para a array, mas torna-se um valor fictício na execução, quando os parâmetros são dispostos.
    – Edilson
    Commented 13/11/2015 às 19:42

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .