4
$DNI= $_POST["DNI"];
$consulta="SELECT DNI FROM `clientes`
where DNI=$DNI ";

Tal como está no me encuentra el DNI solicitado, ahora si el dni lo pongo literalmente en DNI=''; si lo encuentra

Está bien construida la parte de

where DNI=$DNI ";
7
  • Desde HTML lo ponés como DNI="" o a qué te referís con eso? Podrías aclarar un poco más el problema y si es posible, compartir un poco más de información.
    – Kleith
    el 27 may. 2019 a las 17:55
  • esta en php el codigo adscrito, me refiero que si pongo el where DNI='11223344D', si me lo encuentra
    – kit
    el 27 may. 2019 a las 17:56
  • Te faltan las comillas en DNI="$DNI" porque al parecer es un string.
    – Kleith
    el 27 may. 2019 a las 17:59
  • si lo pongo así me salta error de sintaxis, si lo pongo ".$DNI." me salta al error del principio
    – kit
    el 27 may. 2019 a las 18:01
  • Qué tipo de dato tiene en la DB el DNI?
    – Kleith
    el 27 may. 2019 a las 18:02

3 respuestas 3

8

Para concatenar tu variable puedes hacerlo así:

 $consulta = "SELECT DNI FROM `clientes` WHERE DNI='$DNI'";

Cabe mencionar que en la forma que lo haces actualmente es altamente vulnerable a inyección SQL (escribes directamente lo que recibes en el POST) por lo que lo mas recomendable es usar sentencias preparadas:

$conn = new mysqli("localhost", "usuario", "contraseña", "basedatos"); //crea una conexion a tu base de datos


 $consulta="SELECT DNI FROM `clientes`
 where DNI=?"; //nota el uso del ? 
 $stm = $conn->prepare($consulta); //preparamos la consulta

 $stm->bind_param("d", $DNI); //pasamos el valor de la variable
 $stmt->execute(); //ejecutamos la consulta
 $stm->execute(); //ejecutamos la consulta
 $resultSet = $stm->get_result();

var_dump($resultSet->fetch_all()); //imprimiendo la salida
3
  • 1
    puedes agregar la consulta preparada, esto es vulnerable pueden hacer un SQL Injection el 27 may. 2019 a las 19:32
  • @JackNavaRow si gracias cuando lo escribi lo pense pero lo deje en el portapapeles, ya esta hecho. el 27 may. 2019 a las 20:00
  • como podría hacer de esta forma,si hay un registro ya en la bd que me avise?
    – kit
    el 28 may. 2019 a las 9:53
3

Podrías utilizar consultas preparadas, 1.- mayor seguridad 2.- evitas estos problemas.

Acá un ejemplo

$sql = "SELECT DNI FROM `clientes` where DNI= :DNI;";
$sqlST = $this->conn->prepare($sql);

$sqlST->bindValue(':DNI', $DNI, \PDO::PARAM_STR); // PARAM_INT en el caso de que sea entero
$sqlST->execute();

Obviamente todo esto teniendo una conexion PDO establecida donde $this->conn tengas la conexión.

Documentación

1
-1
$consulta = 'SELECT dni FROM clientes where dni = "'.$DNI.'"';
4
  • 1
    Cuidado con la inyección SQL. Este código es vulnerable.
    – jachguate
    el 27 may. 2019 a las 21:07
  • Por favor lee esta respuesta para aprender cómo evitar la inyección SQL. Un saludo.
    – jachguate
    el 27 may. 2019 a las 21:09
  • claro, pero el solo pidio el por que no funcionaba. deberia usar consultas preparadas. gracias igualmente. el 27 may. 2019 a las 23:46
  • 1
    Con sentencias preparadas o no, deberías agregar un poco de contexto a tu respuesta. Explica por qué tu query funciona y la de OP no.
    – Julio
    el 28 may. 2019 a las 6:27

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.