0

Espero me puedan ayudar con este error que se genera al intentar hacer un UPDATE usando sentencias preparadas. He intentado solucionar esto validando las variables, los parámetros y los tipos de datos, pero el error sigue a pesar de que el numero de variables que traigo con el Foreach y las que declaro antes de preparar la sentencia, si coinciden con los parámetros esperados.

Mi codigo:

    ```
<?php

// aqui traigo mis variables



 include '../conexion/conexion.php';
    
    if ($_SERVER['REQUEST_METHOD'] == 'POST') {
    
    
    
        foreach ($_POST as $campo => $valor) {
    
            $variable = "$" . $campo . "='" . html_entity_decode($valor, ENT_QUOTES | ENT_HTML401, "UTF-8") . "';";
            eval($variable);
            echo $variable;
            echo '<br>';
        }
    
    
    
        // estas son las variables que trae el foreach
        $ref = '01test';
        $operacion = 'SUBASTA';
        $tipo_inmueble = 'EDIFICIO';
        $estado_inmueble = 'SEGUNDA MANO';
        $dormitorios = '50';
        $banos = '50';
        $mts = '1000';
        $provincia = 'Barcelona';
        $municipio = 'Barcelona';
        $codigoPostal = 'XXXXXX';
        $direccion = 'XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX';
        $latitud = '37.983497';
        $longitud = '-0.6767437';
        $zona = 'XXXXXXXXXXXXXXXXXXXXXXXXXXXXXX';
        $precio = 200000;
        $tituloComentario = 'XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX';
        $comentario_web = 'XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX';
        $estatus = 'LIBRE';
        $asesor = 'VIVIENDAS DEL NORTE';
        $vendedor = 'PARTICULAR';
        $tel = '';
        $correo = 'xxxxx';
    
    
        $lat = $latitud  - 0.000500;
    
        $long = $longitud  + 0.0005432;
    
        $mapa = $lat . ",  " .  $long;
    
    
        // en la DB son 31 campos aqui solo necesito actualizar 23 campos del formulrio
        $up = $con->prepare("UPDATE propiedades SET 
                        ref=?, 
                        operacion=?, 
                        tipo_inmueble=?, 
                        estado_inmueble=?, 
                        dormitorios=?, 
                        banos=?,
                        mts=?,
                        provincia=?,
                        municipio=?,
                        codigoPostal=?,
                        direccion=?,
                        latitud=?,
                        longitud=?,
                        zona=?,
                        precio=?,
                        tituloComentario=?,
                        comentario_web=?,
                        estatus=?,
                        asesor=?,
                        vendedor=?,
                        tel=?,
                        correo=?,
                        mapa=?
                        WHERE id_prop=? ");
    
    
        $up->bind_param(
            "ssssiiisssssssdssssssss",
            $ref,
            $operacion,
            $tipo_inmueble,
            $estado_inmueble,
            $dormitorios,
            $banos,
            $mts,
            $provincia,
            $municipio,
            $codigoPostal,
            $direccion,
            $latitud,
            $longitud,
            $zona,
            $precio,
            $tituloComentario,
            $comentario_web,
            $estatus,
            $asesor,
            $vendedor,
            $tel,
            $correo,
            $mapa
        );
    
        if ($up->execute()) {
            header('');
        } else {
            header('');
        }
    
        $up->close();
        $con->close();
    } else {
        header('');
    }
    
    ?>

¿Para realizar un UPDATE con sentencias preparadas debo afectar todos los campos que están en la DB, o solo los campos que vaya actualizar el usuario?.

2
  • Tu script es extremadamente inseguro, no deberías usar eval() directamente en entradas manipulables por el usuario... En fin, el error se refiere a que la cantidad de variables proporcionadas no es igual a la cantidad de marcadores ?, seguramente te falta enviar la variable para el filtro id_prop.
    – Triby
    el 16 ago. 2021 a las 16:10
  • Hacia falta una s y llamar la variable que comentas gracias! Voy a mirar el tema del eval(). Si sabes alguna alternativa seria genial porque si quito la linea no me actualiza ningún registro y no genera error, te agradecería.
    – Xh2ox
    el 17 ago. 2021 a las 7:31

2 respuestas 2

1

El problema es con bind_param donde falta un valor. De acuerdo con la documentacion (https://www.php.net/manual/es/mysqli-stmt.bind-param.php)

bind_param(string $types, mixed &$var1, mixed &$... = ?): bool

Dado que el primer parametro es una lista de tipos codificadas como un string, quiza constaste este como un parámetro de la consulta, pero en realidad hay 23 valores solamente, falta el ultimo correspondiente a id_prop. La llamada deberia quedar como:

$up->bind_param(
        "ssssiiisssssssdssssssssi", // agregar i al final si id_prop es entero
        $ref,
        $operacion,
        $tipo_inmueble,
        $estado_inmueble,
        $dormitorios,
        $banos,
        $mts,
        $provincia,
        $municipio,
        $codigoPostal,
        $direccion,
        $latitud,
        $longitud,
        $zona,
        $precio,
        $tituloComentario,
        $comentario_web,
        $estatus,
        $asesor,
        $vendedor,
        $tel,
        $correo,
        $mapa,
        $id_prop // debe obtenerse de algun lado
    );

EDIT: Sobre el eval() existe otra alternative mejor es crear tu propio array de valores de entrada:

$data = [];
foreach ($_POST as $campo => $valor) {

        $data[$campo] = $valor; // no es necesario escapar comillas, pero puedes aqui realizar cualquier post-proceso o sanitizacion 
        // echo $data[$campo];
        // echo '<br>';
    }

Y luego usar los valores de $data en la llamada directamente (incluso podrias usar $_POST si no requiere filtrado/sanitizacion adicional)

$up->bind_param(
        "ssssiiisssssssdssssssss",
        $data['ref'],
        $data['operacion'],
        $data['tipo_inmueble'],
        $data['estado_inmueble'],
        $data['dormitorios'],
        $data['banos'],
        $data['mts'],
        $data['provincia'],
        ...
2
  • Muy bien. Lo he solucionado de momento añadiendo una S al final y llamando la variable $id_prop que faltaba. Ahora debo buscar una alternativa al eval() que me comentan, Muchas gracias .
    – Xh2ox
    el 17 ago. 2021 a las 7:15
  • @Xh2ox agregué un edit sobre eso. Hay varias opciones pero básicamente es traspasar los datos directamente al bind_param() sin eval
    – F.Igor
    el 17 ago. 2021 a las 22:28
0

En bind_param() debes poner tantos tipos de datos y tantas variables como marcadores haya en tu sentencia preparada.

En la sentencia preparada hay 24 marcadores, pero estás indicando 23 tipos de datos y 23 variables, analizando la consulta es evidente que te está faltando el marcador que usas en la parte del WHERE de la consulta.

Por otra parte, no necesitas recurrir a eval() para obtener las variables del $_POST, y ni siquiera necesitas escapar/filtar nada. Esos datos no tienen otro propósito que ser pasados en la consulta, y cualquier filtro que haya que hacer sobre ellos lo hará sin ningún riesgo mysqli.

También, para mayor claridad en el código, cuando usas redirecciones conviene ir definiendo una variable y usar esa variable una sola vez al final, seguido de exit. Esto evitará errores que se aprecian en tu código, como intentar cerrar los recursos después de la redirección.

Así debería funcionar:

<?php

// aqui traigo mis variables



include '../conexion/conexion.php';

if ($_SERVER['REQUEST_METHOD'] == 'POST') {
    /*
      Obtén el valor de las variables directamente del $_POST
      por la clave que éstas tengan
    */


    // estas son las variables que trae el foreach
    $ref = '01test';
    $operacion = 'SUBASTA';
    $tipo_inmueble = 'EDIFICIO';
    $estado_inmueble = 'SEGUNDA MANO';
    $dormitorios = '50';
    $banos = '50';
    $mts = '1000';
    $provincia = 'Barcelona';
    $municipio = 'Barcelona';
    $codigoPostal = 'XXXXXX';
    $direccion = 'XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX';
    $latitud = '37.983497';
    $longitud = '-0.6767437';
    $zona = 'XXXXXXXXXXXXXXXXXXXXXXXXXXXXXX';
    $precio = 200000;
    $tituloComentario = 'XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX';
    $comentario_web = 'XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX';
    $estatus = 'LIBRE';
    $asesor = 'VIVIENDAS DEL NORTE';
    $vendedor = 'PARTICULAR';
    $tel = '';
    $correo = 'xxxxx';
    $id_prop ="*****AQUI VALOR PARA ESTA VARIABLE";


    $lat = $latitud  - 0.000500;

    $long = $longitud  + 0.0005432;

    $mapa = $lat . ",  " .  $long;


    // en la DB son 31 campos aqui solo necesito actualizar 23 campos del formulrio
    $up = $con->prepare("UPDATE propiedades SET 
                    ref=?, 
                    operacion=?, 
                    tipo_inmueble=?, 
                    estado_inmueble=?, 
                    dormitorios=?, 
                    banos=?,
                    mts=?,
                    provincia=?,
                    municipio=?,
                    codigoPostal=?,
                    direccion=?,
                    latitud=?,
                    longitud=?,
                    zona=?,
                    precio=?,
                    tituloComentario=?,
                    comentario_web=?,
                    estatus=?,
                    asesor=?,
                    vendedor=?,
                    tel=?,
                    correo=?,
                    mapa=?
                    WHERE id_prop=? ");


    $up->bind_param(
        "ssssiiisssssssdsssssssss",
        $ref,
        $operacion,
        $tipo_inmueble,
        $estado_inmueble,
        $dormitorios,
        $banos,
        $mts,
        $provincia,
        $municipio,
        $codigoPostal,
        $direccion,
        $latitud,
        $longitud,
        $zona,
        $precio,
        $tituloComentario,
        $comentario_web,
        $estatus,
        $asesor,
        $vendedor,
        $tel,
        $correo,
        $mapa,
        $id_prop
    );

    if ($up->execute()) {
        $header="";
    } else {
        $header="";
    }

    $up->close();
    $con->close();
} else {
    $header="";
}
header($header);
exit;
?>

Actualización

Siendo que $_POST es un array, tú podrías armar tu escenario de consulta preparada siguiendo estos criterios.

Debo señalar que para que esto funcione es fundamental que los name del formulario se llamen igual que las columnas de la base de datos, ya que esa información se usa para armar dinámicamente la instrucción SQL. Si por algún motivo no puede acceder a modificar los name en el formulario, podrías crear un array que asocie los valores que estos tienen a los nombres reales de las columnas y hacer la sustitución desde ese array.

<?php
  include '../conexion/conexion.php';
    
  if ($_SERVER['REQUEST_METHOD'] == 'POST') {
    /*
      Para los parámetros, creamos un array
      en el que iremos tomando los valores que hay en $_POST
      En $sql empezamos a construir nuestra consulta preparada
    */

    $params=array();
    $sql="UPDATE propiedades SET ";

    /*
        Nombre de la columna del criterio WHERE
        y array aparte para recoger dicho criterio
    */
    $idColumn='id_prop';
    $where=array();

    foreach($_POST as $k => $v) {
    /*
        Si no es la columna id irá concatenando columna=? de lo contrario, 
        llenará el array que declaramos para criterio WHERE
    */
        if ($k!=$idColumn) {
          $params[] = !empty($v) ? $v : "";
          $sql.="$k=?,";
        } else {
          $where[$k]=$v;          
        }
    }

    /*
        Aquí aseguramos que el valor para el WHERE vaya al final
        No sabemos en qué orden vendrán los datos en el POST
    */
    $params[]=$where[$idColumn];

    /*
        Quitamos la coma del último SET
        y completamos la consulta con la parte del WHERE
    */

    $sql=substr_replace($sql, "", -1)." WHERE $idColumn=?";

    /*
        Creamos los tipos. 
        Tú podrías trabajar tu formulario para que los tipos
        vengan en $_POST de algún modo 
        cada tipo estaría asociado a su valor
        y podrías recogerlos de forma automática 
        como hacemos con los valores
    */
    $types="ssssiiisssssssdsssssssss";


    /*
        Finalmente, con todo lo que hemos armado
        Preparamos la consulta y pasamos los datos. 
        Para el bind_param puedes usar el operador de desempaquetado 
        (desde PHP 5.6+). Ver nota al final de la respuesta
    */

    $up = $con->prepare($sql);
    $up->bind_param($types, ...$params);    
    if ($up->execute()) {
        $header="";
    } else {
        $header="";
    }
      
    $up->close();
    $con->close();
  } else {
    $header="";
  }
  header($header);
  exit;
?>

Nota

Para la parte del bind_param, si tu versión de PHP es inferior a 5.6 (no recomendable), en lugar de la línea anterior, deberás usar call_user_func_array de este modo:

call_user_func_array(array($up, 'bind_param'), $params);
15
  • Así funciona, pero necesito traer las variables con ayuda, este formulario solo es una parte del que debo realizar. Si fueran pocos campos lo haría como indicas gracias!
    – Xh2ox
    el 17 ago. 2021 a las 7:12
  • @Xh2ox el uso de eval puede resultar peligroso. ¿Son cerca de 500 o 1000 variables? Sean las que sean, una vez escrito el código creando las variables a mano ya está hecho. O si quieres puedes escribir tu propia función que te desgrane el POST
    – A. Cedano
    el 17 ago. 2021 a las 12:43
  • Padre gracias, pero son cerca de 500. Estaba pensando hacerlo a mano pero vi la alternativa de usar el foreach y lo único que me sirvió para volver la concatenación código valido para hacer la sentencia fue el eval(), he leído y si es bastante peligroso. Crear una función es la única alternativa que queda para pasar múltiples variables de un formulario extenso?
    – Xh2ox
    el 17 ago. 2021 a las 15:46
  • @Xh2ox revisa la Actualización en mi respuesta (código al final). Ahí te he explicado los pasos para automizar la recogida de valores y para escribir la consulta preparada sin tener que usar eval. Si tienes que hacer esto varias veces puedes crear tu propia función a la que le pases el $_POST para que te prepare todo el contexto necesario para escribir / ejecutar una consulta preparada sin riesgo, implementando en dicha función lo que se hace aquí. Si es un INSERT o un SELECT variaría la táctica en cuanto a la construcción de la variable $sql, lo importante es entender la técnica usada.
    – A. Cedano
    el 17 ago. 2021 a las 17:15
  • Padre gracias por mostrarme esta alternativa, pero tengo algunas dudas y quisiera saber mas de esta forma o técnica que veo muy funcional. He probado el código que actualizaste y no esta haciendo el UPDATE . Viendo el contenido de $params efectivamente trae los valores del formulario pero no entiendo como o cuando se asocia el WHERE con el id_prop. Entiendo como se estructura el SET (=DB) , y los valores que se van actualizar en teoría son correctos. De momento me funciona como venia trabajando con las correcciones de @f.igor, pero quiero usar lo que propones que lo veo mas eficiente
    – Xh2ox
    el 18 ago. 2021 a las 8:59

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.