Pq usa-se bindValue ao invés de usar a variável direto na instrução sql

[junior3d 0]

Estudo há poucos dias PHP e gostaria de saber no trecho abaixo por que usa-se o bindValue para jogar o conteúdo da variável na sql do método prepare do PDO?

segue o trecho:

$sql = $pdo->prepare("INSERT INTO usuarios (nome, email, telefone, senha) VALUES (:n, :t, :e, :s)");
$sql->bindValue(":n",$nome);
$sql->bindValue(":t",$telefone);
$sql->bindValue(":e",$email);
$sql->bindValue(":s",$senha);
$sql->execute();

Por que não poderia assim?

$sql = $pdo->prepare("INSERT INTO usuarios (nome, email, telefone, senha) VALUES ($nome, $telefone, $email $senha)");
$sql->execute();

 

[Williams Duarte 431]

Em 27/06/2020 at 20:00, junior3d disse:

Estudo há poucos dias PHP e gostaria de saber no trecho abaixo por que usa-se o bindValue para jogar o conteúdo da variável na sql do método prepare do PDO?

segue o trecho:

Saiba mais aqui

 

 

Em 27/06/2020 at 20:00, junior3d disse:

 

 poderia assim?

$sql = $pdo->prepare("INSERT INTO usuarios (nome, email, telefone, senha) VALUES ($nome, $telefone, $email $senha)");
$sql->execute();

 

Desta forma use $pdo->query("..."), mas entenda sobre SQL Injection

 

Há outras formas e um pouco menos verbosa, utilizando o prepared statements, ao invés de query.

Passe o array no método execute() da PDO.

$sql = "INSERT INTO usuarios (nome, email, telefone, senha) VALUES (?,?,?,?)";
$stmt= $pdo->prepare($sql);
$stmt->execute([$nome, $telefone, $email, $senha]);

Ou nomeados

 

Prefira sempre o uso de espaços nomeados "placeholders", igual ao exemplo abaixo:

$sql = "INSERT INTO usuarios (nome, email, telefone, senha) VALUES (:n, :t, :e, :s)";
$stmt= $pdo->prepare($sql);
$stmt->execute([":n" => $nome, ":t" => $telefone, ":e" => $email, ":s" => $senha]);

Quando evoluir na linguagem php, verás que a ultima a opção é a melhor para se trabalhar com objetos.
 

 

 

[Guilherme Luiz 41]

O que aprendi ha muitos anos quando comecei a trabalhar com o PHP que respondeu essa e a varias outras perguntas:

 

Nunca confie em input recebidos

 

Em outras palavra... sempre cheque e valide tudo que você receba a partir de input principalmente quando se tratar de queries em bancos de dados.