⚙️ 2.5 · CRUD con PHP y MySQL: tu primera app completa

🎯 Objetivo del tema

🗺️ Mapa del tema

CRUD es el pan de cada día del desarrollo backend. El 80% de las aplicaciones web son variaciones de CRUD: un blog (CRUD de posts), una tienda (CRUD de productos), una red social (CRUD de usuarios/posts/comentarios), un sistema de tickets (CRUD de tickets). Dominar CRUD es dominar la base de la programación backend. Vamos a hacerlo bien desde el inicio.

2.5.1 Qué es CRUD y dónde se usa

CRUD son las 4 operaciones básicas que cualquier aplicación que persiste datos necesita: Create (crear), Read (leer), Update (actualizar), Delete (eliminar). Se mapean directamente a los 4 verbos SQL (INSERT, SELECT, UPDATE, DELETE) y a los 4 verbos HTTP (POST, GET, PUT/PATCH, DELETE).

2.5.2 READ: listar y mostrar registros

La operación más común: mostrar datos. En PHP, esto se hace con un SELECT a la base de datos, recorrer los resultados con foreach, y mostrarlos en HTML. Es el patrón más repetido del backend.

El patrón: SELECT + foreach + HTML

<?php
// usuarios/listar.php: listar todos los usuarios
require_once '../conexion.php';

// 1. PREPARAR la consulta (con prepared statement)
$sql = 'SELECT id, nombre, email, edad, activo FROM usuarios ORDER BY id DESC';
$stmt = $pdo->prepare($sql);
$stmt->execute();

// 2. OBTENER todos los resultados
$usuarios = $stmt->fetchAll();

// 3. MOSTRAR en HTML
?>
<h1>Lista de usuarios (<?= count($usuarios) ?>)</h1>
<table>
  <thead>
    <tr><th>ID</th><th>Nombre</th><th>Email</th><th>Edad</th><th>Activo</th><th>Acciones</th></tr>
  </thead>
  <tbody>
    <?php foreach ($usuarios as $u): ?>
      <tr>
        <td><?= htmlspecialchars($u['id']) ?></td>
        <td><?= htmlspecialchars($u['nombre']) ?></td>
        <td><?= htmlspecialchars($u['email']) ?></td>
        <td><?= htmlspecialchars($u['edad']) ?></td>
        <td><?= $u['activo'] ? '✅' : '❌' ?></td>
        <td>
          <a href="ver.php?id=<?= $u['id'] ?>">Ver</a> |
          <a href="editar.php?id=<?= $u['id'] ?>">Editar</a> |
          <a href="eliminar.php?id=<?= $u['id'] ?>">Eliminar</a>
        </td>
      </tr>
    <?php endforeach; ?>
  </tbody>
</table>
<a href="crear.php">+ Crear nuevo usuario</a>

Listar usuarios: SELECT + foreach + HTML

2.5.3 CREATE: insertar nuevos registros

Insertar es la operación que añade nuevos registros. Viene siempre de un formulario (POST) que el usuario llena. PHP valida los datos, los inserta con INSERT, y redirige al listado (patrón PRG del Tema 2.3).

<?php
// usuarios/crear.php: formulario que crea un nuevo usuario
require_once '../conexion.php';

$errores = [];
$nombre = $email = $edad = '';

if ($_SERVER['REQUEST_METHOD'] === 'POST') {
  // 1. LEER y SANITIZAR inputs
  $nombre = trim($_POST['nombre'] ?? '');
  $email = trim($_POST['email'] ?? '');
  $edad = trim($_POST['edad'] ?? '');

  // 2. VALIDAR
  if (empty($nombre)) $errores[] = 'El nombre es obligatorio.';
  if (!filter_var($email, FILTER_VALIDATE_EMAIL)) $errores[] = 'Email inválido.';
  if (!filter_var($edad, FILTER_VALIDATE_INT, ['options' => ['min_range' => 0, 'max_range' => 120]])) {
    $errores[] = 'Edad debe ser entre 0 y 120.';
  }

  // 3. Si NO hay errores, INSERT con prepared statement
  if (empty($errores)) {
    try {
      $sql = 'INSERT INTO usuarios (nombre, email, edad) VALUES (?, ?, ?)';
      $stmt = $pdo->prepare($sql);
      $stmt->execute([$nombre, $email, $edad]);
      // Patrón PRG: redirigir al listado
      header('Location: listar.php?msg=creado');
      exit;
    } catch (PDOException $e) {
      // Email duplicado (UNIQUE constraint) o similar
      if ($e->getCode() == 23000) {
        $errores[] = 'Ya existe un usuario con ese email.';
      } else {
        $errores[] = 'Error al guardar. Intenta más tarde.';
        error_log($e->getMessage());  // log técnico, no al usuario
      }
    }
  }
}
?>
<h1>Crear usuario</h1>
<?php if (!empty($errores)): ?>
  <ul class="errores"><?php foreach ($errores as $e) echo "<li>$e</li>"; ?></ul>
<?php endif; ?>
<form method="post">
  <input name="nombre" value="<?= htmlspecialchars($nombre) ?>" placeholder="Nombre">
  <input name="email" type="email" value="<?= htmlspecialchars($email) ?>" placeholder="Email">
  <input name="edad" type="number" value="<?= htmlspecialchars($edad) ?>" placeholder="Edad">
  <button type="submit">Guardar</button>
  <a href="listar.php">Cancelar</a>
</form>

Crear usuario: formulario + validación + INSERT + PRG

2.5.4 UPDATE: editar registros existentes

Editar es similar a crear, pero con dos diferencias: (1) precarga los valores actuales en el formulario, (2) usa UPDATE en vez de INSERT. La estructura de validación es idéntica.

<?php
// usuarios/editar.php: editar un usuario existente
require_once '../conexion.php';

// 1. SIEMPRE validar el id de la URL
$id = (int)($_GET['id'] ?? 0);
if ($id <= 0) { die('ID inválido'); }

$errores = [];

// 2. Si es GET, CARGAR los datos actuales para pre-rellenar el formulario
if ($_SERVER['REQUEST_METHOD'] === 'GET') {
  $stmt = $pdo->prepare('SELECT * FROM usuarios WHERE id = ?');
  $stmt->execute([$id]);
  $usuario = $stmt->fetch();
  if (!$usuario) { die('Usuario no encontrado'); }
  $nombre = $usuario['nombre'];
  $email = $usuario['email'];
  $edad = $usuario['edad'];
}

// 3. Si es POST, VALIDAR y ACTUALIZAR
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
  $nombre = trim($_POST['nombre'] ?? '');
  $email = trim($_POST['email'] ?? '');
  $edad = trim($_POST['edad'] ?? '');
  $id = (int)($_POST['id'] ?? 0);  // el id viene hidden en el form

  // ... validaciones (igual que en crear.php) ...
  if (empty($errores)) {
    $sql = 'UPDATE usuarios SET nombre = ?, email = ?, edad = ? WHERE id = ?';
    $stmt = $pdo->prepare($sql);
    $stmt->execute([$nombre, $email, $edad, $id]);
    header('Location: listar.php?msg=editado');
    exit;
  }
}
?>
<h1>Editar usuario #<?= $id ?></h1>
<form method="post">
  <input type="hidden" name="id" value="<?= $id ?>">
  <input name="nombre" value="<?= htmlspecialchars($nombre) ?>">
  <input name="email" type="email" value="<?= htmlspecialchars($email) ?>">
  <input name="edad" type="number" value="<?= htmlspecialchars($edad) ?>">
  <button type="submit">Actualizar</button>
  <a href="listar.php">Cancelar</a>
</form>

Editar usuario: cargar + validar + UPDATE + PRG

2.5.5 DELETE: eliminar con confirmación

Eliminar es la operación más PELIGROSA: un error aquí puede borrar datos irrecuperables. Por eso siempre: (1) pide confirmación, (2) usa POST (no GET) para evitar borrados accidentales por un enlace mal clickeado, (3) considera 'soft delete' en producción.

<?php
// usuarios/eliminar.php: eliminar con confirmación
require_once '../conexion.php';

// 1. Validar id
$id = (int)($_GET['id'] ?? 0);
if ($id <= 0) { die('ID inválido'); }

// 2. Si es GET, MOSTRAR página de confirmación
if ($_SERVER['REQUEST_METHOD'] === 'GET') {
  $stmt = $pdo->prepare('SELECT nombre, email FROM usuarios WHERE id = ?');
  $stmt->execute([$id]);
  $usuario = $stmt->fetch();
  if (!$usuario) { die('Usuario no encontrado'); }
  ?>
  <h1>¿Eliminar usuario?</h1>
  <p>Estás a punto de eliminar a <strong><?= htmlspecialchars($usuario['nombre']) ?></strong> (<?= htmlspecialchars($usuario['email']) ?>).</p>
  <p>Esta acción NO se puede deshacer.</p>
  <form method="post">
    <input type="hidden" name="id" value="<?= $id ?>">
    <button type="submit" name="confirmar" value="si">Sí, eliminar</button>
    <a href="listar.php">Cancelar</a>
  </form>
  <?php
}

// 3. Si es POST (usuario confirmó), EJECUTAR el DELETE
if ($_SERVER['REQUEST_METHOD'] === 'POST' && ($_POST['confirmar'] ?? '') === 'si') {
  $id = (int)($_POST['id'] ?? 0);
  $stmt = $pdo->prepare('DELETE FROM usuarios WHERE id = ?');
  $stmt->execute([$id]);
  header('Location: listar.php?msg=eliminado');
  exit;
}
?>

<!-- Soft delete (alternativa PROFESIONAL): -->
<!-- En vez de DELETE, hacer UPDATE activo = FALSE: -->
<?php
// $stmt = $pdo->prepare('UPDATE usuarios SET activo = FALSE WHERE id = ?');
// $stmt->execute([$id]);
// Y en los SELECT, filtrar WHERE activo = TRUE
?>

Eliminar con confirmación + soft delete

2.5.6 Paginación: el patrón que escala

Si tu tabla tiene 1 millón de usuarios y los muestras todos en una sola página, el navegador tarda 30 segundos en renderizar y el servidor se queda sin memoria. La solución: paginación. Muestras solo 20-50 registros por página, con enlaces 'Anterior / Siguiente'.

<?php
// usuarios/listar.php CON PAGINACIÓN
require_once '../conexion.php';

// 1. Calcular total de registros
$total = $pdo->query('SELECT COUNT(*) FROM usuarios')->fetchColumn();
$por_pagina = 20;
$total_paginas = ceil($total / $por_pagina);

// 2. Obtener la página actual (con validación)
$pagina = max(1, min($total_paginas, (int)($_GET['pagina'] ?? 1)));
$offset = ($pagina - 1) * $por_pagina;

// 3. SELECT solo los registros de esta página
$stmt = $pdo->prepare('SELECT id, nombre, email, edad FROM usuarios ORDER BY id DESC LIMIT ? OFFSET ?');
$stmt->execute([$por_pagina, $offset]);
$usuarios = $stmt->fetchAll();

// 4. Mostrar + enlaces de paginación
?>
<h1>Usuarios (página <?= $pagina ?> de <?= $total_paginas ?>)</h1>
<table><?php foreach ($usuarios as $u): ?><tr>
  <td><?= htmlspecialchars($u['nombre']) ?></td>
  <td><?= htmlspecialchars($u['email']) ?></td>
</tr><?php endforeach; ?></table>

<div class="paginacion">
  <?php if ($pagina > 1): ?>
    <a href="?pagina=<?= $pagina - 1 ?>">← Anterior</a>
  <?php endif; ?>
  <?php for ($i = 1; $i <= $total_paginas; $i++): ?>
    <a href="?pagina=<?= $i ?>" <?= $i === $pagina ? 'class="activa"' : '' ?>><?= $i ?></a>
  <?php endfor; ?>
  <?php if ($pagina < $total_paginas): ?>
    <a href="?pagina=<?= $pagina + 1 ?>">Siguiente →</a>
  <?php endif; ?>
</div>

Paginación con LIMIT y OFFSET

📚 Contenido ampliado

Material adicional, referencias externas verificadas y ejemplos extendidos.