¿Por qué no puedes pasar las funciones de MYSQL a las declaraciones de PDO preparadas?

Question

En mi mente, el siguiente script debería funcionar:

$stmt = $db->prepare("UPDATE table SET status = ?, date_modified = ?"); 
$stmt->execute(array(1, 'NOW()')); 

pero al pasar NOW() a la declaración preparada, no pasa nada. Reemplazar NOW() con una fecha real (es decir, 2010-11-23) funciona bien.

No puedo encontrar la explicación en línea. ¿Algunas ideas?

EDITAR

Sólo para aclarar y eliminar cualquier confusión en la pregunta, quiero pasar realmente una variable en la declaración preparada Sin embargo, la variable se establece en una de las cinco funciones posibles de fecha/hora para mysql.

p. Ej.

$ var = 'NOW()';

$ var = 'LAST_DAY (DATE_ADD (CURDATE(), INTERVAL 1 MES))';

$ var = 'LAST_DAY (CURDATE())';

... y así sucesivamente ...

declaración preparada se convierte en:

$stmt->execute(array(1, $var)); 

Sé que esto devolverá los mismos resultados nulos, pero me preocupa si simplemente cambiar el SQL para:

estado UPDATE tabla SET =, date_modified = $ var

? 10

¿Me estoy abriendo a la inyección?

Answer 1

No necesita pasar NOW() como parámetro, ya que no es necesario realizar ningún procesamiento en él, dado que se trata de una función SQL incorporada, por lo que solo debe incluirla en la consulta real como se muestra a continuación.

$stmt = $db->prepare("UPDATE table SET status = ?, date_modified = NOW()"); 

Como alternativa, puede simplemente establecer el date_modified a un campo de marca y actualizará automáticamente el campo date_modified en una actualización de SQL.

Answer 2

Supongo que PDO está asumiendo que 'AHORA()' es una cadena y lo encierra entre comillas cuando rellena los parámetros de consulta. Simplemente pasaría la fecha actual usando la fecha de la función de PHP ('Y-m-d'), que le dará los mismos resultados.

Answer 3

Las declaraciones preparadas interpretan todo lo que insertas en ellas como una cadena literal. Esto es para evitar cualquier tipo de inyección SQL impredecible.

Lo que realmente está sucediendo es que NOW() está intentando insertarse en la base de datos tal como se lee (literalmente, NOW()) en lugar de obtener la fecha real para insertar. Probablemente se muestre en blanco en su base de datos porque tiene una columna de fecha, que no interpreta NOW() como fecha y, por lo tanto, no la acepta.

Si es posible, debe intentar ejecutar el SQL sin utilizar ningún método de sustitución, ya que no hay nada peligroso en este enfoque.