0

Buen día.

Esto desarrollando un sitio con PHP y HTML. En la sección de búsqueda tengo un textbox donde ingresas el parámetro a buscar, después bien un botón con una lista desplegable que contiene 2 opciones KB e INC y después el botón que inicia la acción de buscar.

Este es el front 

introducir la descripción de la imagen aquí

Y el código de PHP que realiza la consulta normal a la tabla KB es:

 if(isset($_POST['submit'])){

 $res = utf8_decode($_POST['buscar']);

 $tb = 'kb';
 $query = mysqli_query($link,"select * from $tb WHERE ap_referida='$res'" ) 
 or die(mysqli_error($link));

Mi duda es:

Como hago para que la variable $tb que es la que representa el nombre de la tabla, tome el valor de la lista desplegable?. Es decir, si yo selecciono KB en la lista, en la consulta se tome KB o si selecciono INC haga la búsqueda solo en la tabla del mismo nombre?

De antemano gracias.

4 respuestas 4

1

digamos que tienes defiido asi el select

<select name="base" >
  <option value="KB">KB</option>
  <option value="INC">INC</option>
</select>

en el server cambia :

$tb = utf8_decode($_POST['base']);
3
  • Al realizar eso me sale el siguiente error
    – Erick Finn
    el 22 mar. 2019 a las 18:12
  • You have an error in your SQL syntax; check the manual that corresponds to your MariaDB server version for the right syntax to use near '1 WHERE ap_referida = 'windows'' at line 1
    – Erick Finn
    el 22 mar. 2019 a las 18:13
  • @ErickFinn Muéstranos también el HTML para verificar si el error viene desde allí.
    – DjCrazy
    el 22 mar. 2019 a las 19:00
1

A ver si entendí, así como capturas el campo $_POST['buscar'] también captura el textbox

ejemplo:

<form method="POST" action="">
  <input type="text" name="buscar" >
  <select name="cbxtable">
    <option value="kb">KB</option>
    <option value="inc">INC</option>
  </select>
  <input type="submit" name="" value="Buscar">
</form>

y en la captura haces lo mismo solo que agregas el campo a la variable

if(isset($_POST['submit'])){

 $res = utf8_decode($_POST['buscar']);
 $tb = utf8_decode($_POST['cbxtable']);

 $query = mysqli_query($link,"select * from $tb WHERE ap_referida='$res'" ) 
 or die(mysqli_error($link));

Espero sea útil saludos.

1

como estas colocando código php dentro del selecten la variable $tb debes meterla entre comillas simples '' prueba de esta manera $query = mysqli_query($link,"select * from '$tb' WHERE ap_referida='$res'" )

1

No, no y no

Jamas dejes que el usuario sea el que decida en que tabla buscar, porque eso es una brecha de seguridad demasiado grande y sumamente peligrosa.

Pero si no te queda de otra más que dejar que el usuario sea el que elija la tabla en la cual buscar, lo que tienes que hacer obligatoriamente antes de pasar el nombre de la tabla a la consulta, es compararla previamente con el nombre de las tablas que en realidad quieras que sean en donde se va a buscar.

Tomemos un ejemplo, imagina que tienes tu html así:

<form method="POST" action="">
  <input type="text" name="consulta">
  <select name="tabla">
    <option value="kb">KB</option>
    <option value="inc">INC</option>
  </select>
  <input type="submit" name="buscar" value="Buscar">
</form>

y un usuario modifica el html así:

<form method="POST" action="">
  <input type="text" name="consulta">
  <select name="tabla">
    <option value="users">KB</option>
    <option value="admin">INC</option>
  </select>
  <input type="submit" name="buscar" value="Buscar">
</form>

Ya te puedes imaginar lo que puede pasar.

Entonces, suponiendo que las unicas tablas en las que el usuario tiene permitido buscar son esas dos (kb e inc), tu código sería el siguiente:

if(isset($_POST['submit'])){
  $consulta = utf8_decode($_POST['consulta']);
  $tabla = utf8_decode($_POST['tabla']);
  //Tablas en donde quieres que el usuario busque
  $tablaspermitidas = array('kb','inc');
  //Verificamos que el valor de la tabla se encuentre o no en array.
  //Si se encuentra en el array de las tablas permitidas, no modificamos nada.
  //Si es un usuario malicioso y modifico el valor, al no estar en el array,
  //modificamos el valor de $tabla y ponemos una por defecto
  if (!in_array($tabla, $tablaspermitidas)) {
    $tabla = 'kb';//Tabla por defecto en caso de que el usuario modifique el HTML
  }

 $query = mysqli_query($link,"select * from '$tb' WHERE ap_referida='$consulta'" ) 
 or die(mysqli_error($link));

Esa pequeña adición al código te salvará de muchos contratiempos.

Saludos

2
  • Este es un foro técnico, evita dar un juicio de valor a las preguntas o respuestas. La pregunta es sobre el funcionamiento del select de html no sobre seguridad, aunque tu aclaracion es genial en ese sentido y seguro que ayuda a muchos usuarios.
    – Fly
    el 23 mar. 2019 a las 10:05
  • @fly, la seguridad viene intrínsecamente ligada al tratar datos que envía el usuario al servidor. No solo es responder por responder. Si así fuera, ésto se llenaría de SPAM. Mi comentario acerca de la respuesta aceptada va ligada con eso. La mayoría de los usuarios novatos que buscan respuestas a preguntas iguales o parecidas toman la respuesta aceptada por la correcta, cuando en este caso no es así. Te digo por que ya me ha pasado. Sin embargo, en pro del debate, editare mi respuesta. Saludos el 23 mar. 2019 a las 10:18

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.