Discussion :

[HelloWorldFr]

Bonjour,
Quel est l'avantage d'utiliser une requête préparé avec bindParam du style:

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
$req=$bdd->prepare('SELECT name FROM user LIMIT :offset, :nbUser');
$req->bindParam('offset', $offset, PDO::PARAM_INT);
$req->bindParam('nbUser', $nbUser, PDO::PARAM_INT);
$req->execute();

Putôt que :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
$req=$bdd->prepare('SELECT name FROM user LIMIT :offset, :nbUser');
$req->execute(array('offset'=>$offset,'nbUser'=>$nbUser));

J'ai entendu dire que la version avec bindParam est plus sécurisé car elle associe la variable à un paramètre de la requête et non directement dans la chaine de la requête, en plus d'être typé avec PARAM_INT.

Niveau sécurité, elles sont équivalentes ou je doit en privilégié une ?

Merci

[Pytet]

Bonjour,

Il n'y a pas de différence en terme de sécurité entre les 3 méthodes bindParam(), bindValue() ou execute(). Elle sont toutes les 3 sécurisées contre les injections sql.

La méthode bindParam() permet de lier une variable par référence à un paramètre de la requête, surtout utile si il y a plusieurs exécution de la requête et que la valeur de la variable peut changer entre chaque exécution
Voir l'exemple 1 sur cette doc où les variables $name et $value utilisées avec bindParam() changent entre les deux exécutions : https://www.php.net/manual/fr/pdo.pr...statements.php

La méthode bindValue() permet de lier une valeur à un paramètre, si il y a une seule exécution ou si les valeurs ne changent pas entre plusieurs exécutions, cette méthode est alors plus adaptée.

L'intérêt des méthodes bindParam() ou bindValue() par rapport à execute() est effectivement le fait de pouvoir définir le type de données (via execute() les données sont toutes considérées de type PDO:: PARAM_STR).
Les SGBD peuvent peuvent reconnaitre et traiter les autres types de données sans problème même si ceux-ci sont envoyés comme string via PDO, l'utilisation de execute() est donc suffisante dans la plupart des cas.
Il peut néanmoins être nécessaire de définir les types de données corrects via bindParam() ou bindValue() pour certaines requêtes spécifiques et en fonction de ton SGBD, par exemple pour les types BIGINT ou BOOLEAN, ou pour la clause LIMIT si le mode émulation pour les requêtes préparées est activé (PDO::ATTR_EMULATE_PREPARES).

Plus de détails :
https://phpdelusions.net/pdo#methods
https://phpdelusions.net/pdo#limit
https://phpdelusions.net/pdo#emulation

[HelloWorldFr]

parfait, merci beaucoup