¡NO! ¡Ojo! ¡Cuidado! ¡Peligro!
¿Cual es el sentido de usar sentencias preparadas si le vas a harcodear los parámetros?
Las sentencias preparadas son una herramienta de seguridad y dicha seguridad no se logra enlazando la mitad de los parámetros y harcodeando la otra mitad, no tiene ningún sentido hacer eso.
Primero pensé que no usabas sentencias preparadas, por tal motivo sugerí (ya alexis lo había mencionado) el join, pero luego, al ver que usabas sentencias preparadas asumí que conocías el concepto y la importancia de esta practica, que por lo visto desconoces.
Cuando preparas una sentencia lo que haces es aislar la funcionalidad que buscas de los parametros necesarios para llevarla a cabo, la funcionalidad la defines tu como profesional de sistemas, pero los parámetros los define el usuario, si un usuario, por el motivo que sea, puede alterar una funcionalidad hay un buco de seguridad.
Es importante (clave, central, vital) que no harcodees una sentencia preparada, esfuérzate un poco, solo son 6 renglones mas, y agrega tantos signos de interrogación como sea necesario y luego enlaza los parametros pertinentes.
Asi como estas ahora, tu sistema es vulnerable a ataques de
inyección sql el mas trillado de todos los ataques conocidos y el mas fácil de prevenir.
El año paso abri
un tema sobre esto, no es algo menor lo que estas pasando por alto.
Saludos.