Expresiones preparadas en PDO en PHP

En la lección anterior, analizamos los problemas relacionados con las inyecciones SQL. PDO tiene una forma especial de luchar contra ellas: las expresiones preparadas. Estas representan consultas SQL en las que, en lugar de variables, se colocan marcadores especiales: placeholders.

Posteriormente, en estos marcadores se insertarán los valores de las variables. Al hacerlo, PDO automáticamente separa el texto de la consulta de las variables. Esto significa que el contenido de la variable no podrá convertirse en un comando para la consulta. Y la inyección se volverá imposible.

PDO admite dos tipos de placeholders: posicionales y con nombre. En los posicionales, es importante el orden de los parámetros y las variables, mientras que en los nombrados, no. En las siguientes lecciones, analizaremos en detalle el trabajo con estos tipos de placeholders.