Skip to main content
se añadieron 1615 caracteres en el cuerpo
Origen Enlace
A. Cedano
  • 95.2k
  • 31
  • 145
  • 257

Una consulta puede fallar por muchos motivos, entre ellos, que la conexión a la BD sea nula, que haya un error de sintaxis en ella... puede haber también consultas vacías porque no se cumplen los criterios. Puede fallar por un problema de codificación, cuando hay contenido con acentos o ñ y no se está manejando bien la codificación, etc, etc, etc.

Además estás mezclando dos conceptos: consultas sin preparar, en las cuales se usa query, y consultas preparadas en las cuales de usa prepare ... execute. Al usar por un lado query y por otro execute, hay una mezcla de conceptos que conducirá necesariamente a error (Gracias @LuiscYm) .

Como solución, puedes cambiar las variables por marcadores en la instrucción SQL, y pasar esas variables en forma de array en el execute. De ese modo el código queda blindado contra la inyección. 

Verás que donde tú ponías esto en la consulta: WHERE usuario='$usuario' AND pass='$pass' yo he puesto esto: WHERE usuario=? AND pass=?, de eso modo, las variables no viajan directamente para ejecutarse en la consulta, porque un usuario mal intencionado puede amañarlas para introducir código malicioso en ellas. Verás también que he creado un array con las variables llamado $arrParams y paso ese array en el execute. De ese modo, si hay datos engañosos en las variables PDO los detectará e impedirá que la consulta tramposa sea ejecutada para perdición tuya :) . Es así explicado brevemente como funcioanan las consultas preparadas.

Prueba con este código, en el cual he aplicado todo lo dicho más arriba. También, para obtener las variables he usado un estilo que me parece más limpio, aprovechando los operadores ternarios (eso lo puedes dejar como lo tenías si prefieres).

Prueba y comenta el resultado:

/*
    $db=Conexion::conectar();*Una técnica quizá más limpia consiste en usar operadores ternario
    *que nos permiten evaluar el POST y asignar su valor a variables
    *o NULL en caso de que estén vacías
    *Luego ya tenemos las variables y sólo controlamos su estado
*/
$usuario = $_POST['user'];
(!empty($_POST['user'])) ? $_POST['user'] : NULL;
$pass    = $_POST['pass'];(!empty($_POST['pass'])) ? $_POST['pass'] : NULL;

if($usuario && $pass) {
    $db=Conexion::conectar();
    if($db){
        $strSQL="SELECT 
                        empleado.id_empleado, 
                        empleado.cedula, 
                        datos_empleado.nombre, 
                        datos_empleado.apellido,  
                        datos_empleado.sueldo, 
                        empleado.usuario, 
                        empleado.correo, 
                        empleado.telefono, 
                        direc_ciudad.ciudad, 
                        roles.roles
                 FROM empleado 
                    INNER JOIN datos_empleado ON empleado.id_empleado=datos_empleado.id_empleado 
                    INNER JOIN direc_ciudad ON empleado.id_ciudad=direc_ciudad.id_ciudad 
                    INNER JOIN roles ON datos_empleado.id_roles=roles.id_roles 
                 WHERE usuario=? AND pass=? LIMIT 1;"
        $sql=$db->query>prepare($strSQL);
        $arrParams=array($usuario,$pass);
        if ($sql->execute($arrParams)){
            $fila=$sql->fetch(PDO::FETCH_ASSOC);
            var_dump($fila);
        }else{
            print_r($db->errorInfo());
        }

    }else{
        echo "No hay conexión a la BD";
    }
}else{
    echo '<script>
            alert("Error ! El Usuario y/o Contraseñas son Incorrectos");
            window.history.go(-1); 
          </script>
         ';
}

Una consulta puede fallar por muchos motivos, entre ellos, que la conexión a la BD sea nula, que haya un error de sintaxis en ella... puede haber también consultas vacías porque no se cumplen los criterios.

Como solución, puedes cambiar las variables por marcadores en la instrucción SQL, y pasar esas variables en forma de array en el execute. De ese modo el código queda blindado contra la inyección. Verás que donde tú ponías esto en la consulta: WHERE usuario='$usuario' AND pass='$pass' yo he puesto esto: WHERE usuario=? AND pass=?, de eso modo, las variables no viajan directamente para ejecutarse en la consulta, porque un usuario mal intencionado puede amañarlas para introducir código malicioso en ellas. Verás también que he creado un array con las variables llamado $arrParams y paso ese array en el execute. De ese modo, si hay datos engañosos en las variables PDO los detectará e impedirá que la consulta tramposa sea ejecutada para perdición tuya :) . Es así explicado brevemente como funcioanan las consultas preparadas.

Prueba con este código y comenta el resultado:

    $db=Conexion::conectar();
    $usuario = $_POST['user'];
    $pass = $_POST['pass'];
    $strSQL="SELECT 
                    empleado.id_empleado, 
                    empleado.cedula, 
                    datos_empleado.nombre, 
                    datos_empleado.apellido,  
                    datos_empleado.sueldo, 
                    empleado.usuario, 
                    empleado.correo, 
                    empleado.telefono, 
                    direc_ciudad.ciudad, 
                    roles.roles
             FROM empleado 
                INNER JOIN datos_empleado ON empleado.id_empleado=datos_empleado.id_empleado 
                INNER JOIN direc_ciudad ON empleado.id_ciudad=direc_ciudad.id_ciudad 
                INNER JOIN roles ON datos_empleado.id_roles=roles.id_roles 
             WHERE usuario=? AND pass=? LIMIT 1;"
    $sql=$db->query($strSQL);
    $arrParams=array($usuario,$pass);
    if ($sql->execute($arrParams)){
        $fila=$sql->fetch(PDO::FETCH_ASSOC);
        var_dump($fila);
    }else{
        print_r($db->errorInfo());
    }

Una consulta puede fallar por muchos motivos, entre ellos, que la conexión a la BD sea nula, que haya un error de sintaxis en ella... puede haber también consultas vacías porque no se cumplen los criterios. Puede fallar por un problema de codificación, cuando hay contenido con acentos o ñ y no se está manejando bien la codificación, etc, etc, etc.

Además estás mezclando dos conceptos: consultas sin preparar, en las cuales se usa query, y consultas preparadas en las cuales de usa prepare ... execute. Al usar por un lado query y por otro execute, hay una mezcla de conceptos que conducirá necesariamente a error (Gracias @LuiscYm) .

Como solución, puedes cambiar las variables por marcadores en la instrucción SQL, y pasar esas variables en forma de array en el execute. De ese modo el código queda blindado contra la inyección. 

Verás que donde tú ponías esto en la consulta: WHERE usuario='$usuario' AND pass='$pass' yo he puesto esto: WHERE usuario=? AND pass=?, de eso modo, las variables no viajan directamente para ejecutarse en la consulta, porque un usuario mal intencionado puede amañarlas para introducir código malicioso en ellas. Verás también que he creado un array con las variables llamado $arrParams y paso ese array en el execute. De ese modo, si hay datos engañosos en las variables PDO los detectará e impedirá que la consulta tramposa sea ejecutada para perdición tuya :) . Es así explicado brevemente como funcioanan las consultas preparadas.

Prueba con este código, en el cual he aplicado todo lo dicho más arriba. También, para obtener las variables he usado un estilo que me parece más limpio, aprovechando los operadores ternarios (eso lo puedes dejar como lo tenías si prefieres).

Prueba y comenta el resultado:

/*
    *Una técnica quizá más limpia consiste en usar operadores ternario
    *que nos permiten evaluar el POST y asignar su valor a variables
    *o NULL en caso de que estén vacías
    *Luego ya tenemos las variables y sólo controlamos su estado
*/
$usuario = (!empty($_POST['user'])) ? $_POST['user'] : NULL;
$pass    = (!empty($_POST['pass'])) ? $_POST['pass'] : NULL;

if($usuario && $pass) {
    $db=Conexion::conectar();
    if($db){
        $strSQL="SELECT 
                        empleado.id_empleado, 
                        empleado.cedula, 
                        datos_empleado.nombre, 
                        datos_empleado.apellido,  
                        datos_empleado.sueldo, 
                        empleado.usuario, 
                        empleado.correo, 
                        empleado.telefono, 
                        direc_ciudad.ciudad, 
                        roles.roles
                 FROM empleado 
                    INNER JOIN datos_empleado ON empleado.id_empleado=datos_empleado.id_empleado 
                    INNER JOIN direc_ciudad ON empleado.id_ciudad=direc_ciudad.id_ciudad 
                    INNER JOIN roles ON datos_empleado.id_roles=roles.id_roles 
                 WHERE usuario=? AND pass=? LIMIT 1;"
        $sql=$db->prepare($strSQL);
        $arrParams=array($usuario,$pass);
        if ($sql->execute($arrParams)){
            $fila=$sql->fetch(PDO::FETCH_ASSOC);
            var_dump($fila);
        }else{
            print_r($db->errorInfo());
        }

    }else{
        echo "No hay conexión a la BD";
    }
}else{
    echo '<script>
            alert("Error ! El Usuario y/o Contraseñas son Incorrectos");
            window.history.go(-1); 
          </script>
         ';
}
se añadieron 784 caracteres en el cuerpo
Origen Enlace
A. Cedano
  • 95.2k
  • 31
  • 145
  • 257

Aquí estás cometiendo otro error, que es mal usando las consultas preparadas, las cuales existen precisamente para no pasar datos de variables provenientes del exterior directamente en la consulta, por el grave riesgo de la inyección SQL..

Como solución, puedes cambiar las variables por marcadores en la instrucción SQL, y pasar esas variables en forma de array en el execute. De ese modo el código queda blindado contra la inyección. Verás que donde tú ponías esto en la consulta: WHERE usuario='$usuario' AND pass='$pass' yo he puesto esto: WHERE usuario=? AND pass=?, de eso modo, las variables no viajan directamente para ejecutarse en la consulta, porque un usuario mal intencionado puede amañarlas para introducir código malicioso en ellas. Verás también que he creado un array con las variables llamado $arrParams y paso ese array en el execute. De ese modo, si hay datos engañosos en las variables PDO los detectará e impedirá que la consulta tramposa sea ejecutada para perdición tuya :) . Es así explicado brevemente como funcioanan las consultas preparadas.

    $db=Conexion::conectar();
    $usuario = $_POST['user'];
    $pass = $_POST['pass'];
    $strSQL="SELECT 
    $sql=$db->query("SELECT                empleado.id_empleado, 
                    empleado.cedula, 
                    datos_empleado.nombre, 
                    datos_empleado.apellido,  
                    datos_empleado.sueldo, 
                    empleado.usuario, 
                    empleado.correo, 
                    empleado.telefono, 
                    direc_ciudad.ciudad, 
                    roles.roles
             FROM empleado 
                INNER JOIN datos_empleado ON empleado.id_empleado=datos_empleado.id_empleado 
                INNER JOIN direc_ciudad ON empleado.id_ciudad=direc_ciudad.id_ciudad 
                INNER JOIN roles ON datos_empleado.id_roles=roles.id_roles 
             WHERE usuario=? AND pass=? LIMIT 1;"
    $sql=$db->query($strSQL);
    $arrParams=array($usuario,$pass);
    if ($sql->execute($arrParams)){
        $fila=$sql->fetch(PDO::FETCH_ASSOC);
        var_dump($fila);
    }else{
        print_r($db->errorInfo());
    }

Aquí estás cometiendo otro error, que es mal usando las consultas preparadas, las cuales existen precisamente para no pasar datos de variables provenientes del exterior directamente en la consulta, por el grave riesgo de la inyección SQL..

Como solución, puedes cambiar las variables por marcadores en la instrucción SQL, y pasar esas variables en forma de array en el execute. De ese modo el código queda blindado contra la inyección.

    $db=Conexion::conectar();
    $usuario = $_POST['user'];
    $pass = $_POST['pass'];

    $sql=$db->query("SELECT empleado.id_empleado, empleado.cedula, datos_empleado.nombre, datos_empleado.apellido,  datos_empleado.sueldo, empleado.usuario, empleado.correo, empleado.telefono, direc_ciudad.ciudad, roles.roles FROM empleado INNER JOIN datos_empleado ON empleado.id_empleado=datos_empleado.id_empleado INNER JOIN direc_ciudad ON empleado.id_ciudad=direc_ciudad.id_ciudad INNER JOIN roles ON datos_empleado.id_roles=roles.id_roles WHERE usuario=? AND pass=? LIMIT 1;");
    $arrParams=array($usuario,$pass);
    if ($sql->execute($arrParams)){
        $fila=$sql->fetch(PDO::FETCH_ASSOC);
        var_dump($fila);
    }else{
        print_r($db->errorInfo());
    }

Aquí estás cometiendo otro error, que es mal usando las consultas preparadas, las cuales existen precisamente para no pasar datos de variables provenientes del exterior directamente en la consulta, por el grave riesgo de la inyección SQL.

Como solución, puedes cambiar las variables por marcadores en la instrucción SQL, y pasar esas variables en forma de array en el execute. De ese modo el código queda blindado contra la inyección. Verás que donde tú ponías esto en la consulta: WHERE usuario='$usuario' AND pass='$pass' yo he puesto esto: WHERE usuario=? AND pass=?, de eso modo, las variables no viajan directamente para ejecutarse en la consulta, porque un usuario mal intencionado puede amañarlas para introducir código malicioso en ellas. Verás también que he creado un array con las variables llamado $arrParams y paso ese array en el execute. De ese modo, si hay datos engañosos en las variables PDO los detectará e impedirá que la consulta tramposa sea ejecutada para perdición tuya :) . Es así explicado brevemente como funcioanan las consultas preparadas.

    $db=Conexion::conectar();
    $usuario = $_POST['user'];
    $pass = $_POST['pass'];
    $strSQL="SELECT 
                    empleado.id_empleado, 
                    empleado.cedula, 
                    datos_empleado.nombre, 
                    datos_empleado.apellido,  
                    datos_empleado.sueldo, 
                    empleado.usuario, 
                    empleado.correo, 
                    empleado.telefono, 
                    direc_ciudad.ciudad, 
                    roles.roles
             FROM empleado 
                INNER JOIN datos_empleado ON empleado.id_empleado=datos_empleado.id_empleado 
                INNER JOIN direc_ciudad ON empleado.id_ciudad=direc_ciudad.id_ciudad 
                INNER JOIN roles ON datos_empleado.id_roles=roles.id_roles 
             WHERE usuario=? AND pass=? LIMIT 1;"
    $sql=$db->query($strSQL);
    $arrParams=array($usuario,$pass);
    if ($sql->execute($arrParams)){
        $fila=$sql->fetch(PDO::FETCH_ASSOC);
        var_dump($fila);
    }else{
        print_r($db->errorInfo());
    }
Origen Enlace
A. Cedano
  • 95.2k
  • 31
  • 145
  • 257

Una consulta puede fallar por muchos motivos, entre ellos, que la conexión a la BD sea nula, que haya un error de sintaxis en ella... puede haber también consultas vacías porque no se cumplen los criterios.

Aquí estás cometiendo otro error, que es mal usando las consultas preparadas, las cuales existen precisamente para no pasar datos de variables provenientes del exterior directamente en la consulta, por el grave riesgo de la inyección SQL..

Como solución, puedes cambiar las variables por marcadores en la instrucción SQL, y pasar esas variables en forma de array en el execute. De ese modo el código queda blindado contra la inyección.

Dado que de todos modos la ejecución puede fallar, he puesto una estructura de control para ello, imprimiendo el mensaje de error en caso de que la consulta falle.

Esto es solo una propuesta, ya que dependiendo del contexto, no siempre conviene mostrar todo al usuario. Tú puedes por tanto controlar cuando hay error y mostrar un mensaje personalizado, tomando solo una parte de lo que arroja errorInfo.

Prueba con este código y comenta el resultado:

    $db=Conexion::conectar();
    $usuario = $_POST['user'];
    $pass = $_POST['pass'];

    $sql=$db->query("SELECT empleado.id_empleado, empleado.cedula, datos_empleado.nombre, datos_empleado.apellido,  datos_empleado.sueldo, empleado.usuario, empleado.correo, empleado.telefono, direc_ciudad.ciudad, roles.roles FROM empleado INNER JOIN datos_empleado ON empleado.id_empleado=datos_empleado.id_empleado INNER JOIN direc_ciudad ON empleado.id_ciudad=direc_ciudad.id_ciudad INNER JOIN roles ON datos_empleado.id_roles=roles.id_roles WHERE usuario=? AND pass=? LIMIT 1;");
    $arrParams=array($usuario,$pass);
    if ($sql->execute($arrParams)){
        $fila=$sql->fetch(PDO::FETCH_ASSOC);
        var_dump($fila);
    }else{
        print_r($db->errorInfo());
    }