Bloque 3: POO y base de datos

class Producto {
    public $nombre;
    public $precio;

    public function __construct($nombre, $precio) {
        $this->nombre = $nombre;
        $this->precio = $precio;
    }

    public function formatear() {
        return $this->nombre . " — " .
            number_format($this->precio, 2) . " €";
    }
}

$p1 = new Producto("Ratón", 9.99);
$p2 = new Producto("Monitor", 129);

echo $p1->formatear() . "\n";
echo $p2->formatear() . "\n";

class CuentaBancaria {
    private $saldo;

    public function __construct($saldoInicial = 0) {
        $this->saldo = $saldoInicial;
    }

    public function getSaldo() {
        return $this->saldo;
    }

    public function ingresar($n) {
        if ($n <= 0) {
            throw new InvalidArgumentException("Cantidad inválida");
        }
        $this->saldo += $n;
    }

    public function retirar($n) {
        if ($n <= 0 || $n > $this->saldo) {
            throw new InvalidArgumentException("Fondos insuficientes");
        }
        $this->saldo -= $n;
    }
}

$c = new CuentaBancaria(100);
$c->ingresar(50);
$c->retirar(30);
echo "Saldo: " . $c->getSaldo() . "\n"; // 120

class Animal {
    public function sonido() {
        return "...";
    }
}

class Perro extends Animal {
    public function sonido() {
        return "Guau";
    }
}

class Gato extends Animal {
    public function sonido() {
        return "Miau";
    }
}

echo (new Perro())->sonido() . "\n";
echo (new Gato())->sonido() . "\n";

interface Pagable {
    public function importe(): float;
}

class LineaDePedido implements Pagable {
    public function __construct(private float $precio, private int $cantidad) {}

    public function importe(): float {
        return $this->precio * $this->cantidad;
    }
}

class TarifaPlana implements Pagable {
    public function __construct(private float $precio) {}

    public function importe(): float {
        return $this->precio;
    }
}

echo (new LineaDePedido(9.99, 2))->importe() . "\n"; // 19.98
echo (new TarifaPlana(30))->importe() . "\n"; // 30

trait Formateable {
    public function precioMostrable() {
        return number_format($this->precio, 2) . " €";
    }
}

class Producto {
    use Formateable;
    public $precio = 19.9;
}

class Servicio {
    use Formateable;
    public $precio = 50;
}

echo (new Producto())->precioMostrable() . "\n";
echo (new Servicio())->precioMostrable() . "\n";

$dsn = "mysql:host=localhost;dbname=tienda;charset=utf8mb4";

try {
    $pdo = new PDO($dsn, "root", "", [
        PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
    ]);
    echo "Conectado\n";
} catch (PDOException $e) {
    echo "Error: " . $e->getMessage() . "\n";
}

$pdo->exec("CREATE TABLE IF NOT EXISTS productos (
    id INT AUTO_INCREMENT PRIMARY KEY,
    nombre VARCHAR(100) NOT NULL,
    precio DECIMAL(10,2) NOT NULL
) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4");

echo "Tabla creada\n";

$stmt = $pdo->prepare(
    "INSERT INTO productos (nombre, precio) VALUES (:nombre, :precio)"
);

foreach ([
    ["Ratón", 9.99], ["Teclado", 24.5], ["Monitor", 129],
] as $p) {
    $stmt->execute(["nombre" => $p[0], "precio" => $p[1]]);
    echo "Insertado id " . $pdo->lastInsertId() . "\n";
}

$filas = $pdo->query("SELECT * FROM productos")->fetchAll();

foreach ($filas as $f) {
    echo $f["id"] . ": " . $f["nombre"] . " — " . $f["precio"] . " €\n";
}

$stmt = $pdo->prepare("SELECT * FROM productos WHERE precio > :min");
$stmt->execute(["min" => 20]);
$caros = $stmt->fetchAll();

echo "Caros: " . count($caros) . "\n";

$stmt = $pdo->prepare("UPDATE productos SET precio = :precio WHERE id = :id");
$stmt->execute(["precio" => 11.5, "id" => 1]);
echo "Update: " . $stmt->rowCount() . " fila(s)\n";

$stmt = $pdo->prepare("DELETE FROM productos WHERE id = :id");
$stmt->execute(["id" => 3]);
echo "Delete: " . $stmt->rowCount() . " fila(s)\n";

// ❌ VULNERABLE: el usuario podría enviar: id=1 OR 1=1
// $pdo->query("SELECT * FROM productos WHERE id = " . $_GET["id"]);

// ✅ SEGURO: prepared statement con placeholder
$stmt = $pdo->prepare("SELECT * FROM productos WHERE id = :id");
$stmt->execute(["id" => $_GET["id"]]);
$fila = $stmt->fetch();

$nombre = "<script>alert('xss')</script>";

echo "Crudo: " . $nombre . "\n";
echo "Escapado: " . htmlspecialchars($nombre, ENT_QUOTES, "UTF-8") . "\n";

// El escapado convierte < > y ' en entidades, por lo que el navegador
// lo muestra como texto y NO lo ejecuta. Siempre escapa la salida.

session_start();

if (empty($_SESSION["csrf"])) {
    $_SESSION["csrf"] = bin2hex(random_bytes(32));
}

$enviado = $_SERVER["REQUEST_METHOD"] === "POST";
$valido = hash_equals($_SESSION["csrf"], $_POST["csrf"] ?? "");

?>
<form method="post">
    <input type="hidden" name="csrf" value="<?= htmlspecialchars($_SESSION["csrf"]) ?>">
    <button>Enviar</button>
</form>
<p><?= $enviado ? ($valido ? "Válido" : "Inválido") : "" ?></p>

$clave = "secreto123";
$hash = password_hash($clave, PASSWORD_DEFAULT);

echo "Hash: $hash\n";

var_dump(password_verify("secreto123", $hash)); // true
var_dump(password_verify("incorrecta", $hash)); // false

// El hash con salt hace cada resultado único y difícil de revertir:
// aunque la BD se filtre, la contraseña en claro no queda expuesta.

// composer.json
{
  "require": { "php": ">=8.0" },
  "autoload": {
    "psr-4": { "App\\": "src/" }
  }
}

// src/Producto.php
<?php
namespace App;

class Producto {
    public function __construct(public string $nombre) {}
}
?>

// uso.php — ejecutar: composer dump-autoload y luego php uso.php
<?php
require __DIR__ . "/vendor/autoload.php";

$p = new App\Producto("Ratón");
echo $p->nombre . "\n";