Skip to main content
se añadieron 124 caracteres en el cuerpo
Origen Enlace
ffflabs
  • 23k
  • 28
  • 50
 
 
 

Es un caso frecuente que hasta tiene su propia tira cómica en XKCD

 
 
 

Es un caso frecuente que hasta tiene su propia tira cómica en XKCD

Origen Enlace
ffflabs
  • 23k
  • 28
  • 50

Pareciera que al final de tu script tienes la etiqueta de cierre de PHP seguida de una línea en blanco.

<?php
  ....código...

  if ($RepetirCuenta>0 && $Repetirmail>0) {
      echo 'El correo o el user esta en uso';
  } else {
      header("Location: login.html");
      $result = mysqli_query($conn, $sql);
  }
?>
<!-- línea en blanco -->

Esta línea constituye contenido que php enviará al browser y, cuando se envía contenido, no se puede usar header(...).

Para este caso de uso, quita la etiqueta de cierre, que no es necesaria (aunque no sabemos si al algo más después de ésta que sí necesites imprimir).


Segundo, es sano comprobar si las variables $_POST están definidas. Como estás silenciando los E_NOTICE, ese problema pasaría bajo el radar. Podrías hacer algo como:

if (
    !array_key_exists('Nombre', $_POST) ||
    !array_key_exists('Apellido', $_POST) ||
    !array_key_exists('Usuario', $_POST) ||
    !array_key_exists('Email', $_POST) ||
    !array_key_exists('Contraseña', $_POST) ||
    !array_key_exists('RepetirC', $_POST)
) {
    echo 'Faltan campos del formulario';
    var_dump($_POST);
    exit();
}

Por otro lado, hay más de un flujo en donde el script se rompe. Si la contraseña no calza con "repetir contraseña":

   // entras acá
   if($Contraseña!=$RepetirC) {
     // se envió contenido
     echo "Las contraseñas no coinciden";
   } else {
     // No entra acá
     ....
   }

   // estas variables no existen
   if ($RepetirCuenta>0 && $Repetirmail>0) {
      // luego no entra acá
      echo 'El correo o el user esta en uso';
   } else {
      // Sino que entra acá
      header("Location: login.html");
      $result = mysqli_query($conn, $sql);
   }

Lo de arriba es equivalente a:

   if($Contraseña!=$RepetirC) {
     // se envia contenido
     echo "Las contraseñas no coinciden";

     // habiendo escrito "las contraseñas no coinciden..."
     // no puedes usar header(...)
     header("Location: login.html");

     // pero además ejecutas la inserción 
     // arriesgando pisar un usuario existente
     $result = mysqli_query($conn, $sql);
   }

Supongamos ahora el camino feliz: las contraseñas calzan y el usuario no existe, el código que se ejecuta es:

      header("Location: login.html");
      $result = mysqli_query($conn, $sql);

No es seguro que se ejecutará la inserción. Aunque la redirección en teoría no interrumpe el flujo, estás metiendo una racing condition. Debiera ser, en cambio:

      $result = mysqli_query($conn, $sql);
      header("Location: login.html");

Otro problema: el mail existe pero el nombre de usuario no. Entonces

   // $Repetirmail es 1
   // $RepetirCuenta es 0
   if ($RepetirCuenta>0 && $Repetirmail>0) {
      // luego no entra acá
      echo 'El correo o el user esta en uso';
   }

Tendría que ser un OR:

   if ($RepetirCuenta>0 || $Repetirmail>0) {
      // entra acá si cualquiera de las dos es mayor a cero
      echo 'El correo o el user esta en uso';
   }

Pero es más eficiente:

   $sentencia_existe = "SELECT Email,Usuario  FROM `cuentas` WHERE Email='$Email' OR  Usuario='$Usuario'";
   $resultboth = mysqli_query($conn, $sentencia_existe);
   $ExisteUsuariooMail = mysqli_num_rows($resultboth);
   if ($ExisteUsuariooMail>0) {
     ...
   }

Y para terminar, qué pasa si mando el usuario Amenadiel'; DROP TABLE cuentas;--? Tu sentencia

   $checkuser="SELECT Usuario FROM `cuentas` WHERE Usuario='$Usuario'";

Ejecutará

   SELECT Usuario FROM `cuentas` 
   WHERE Usuario='Amenadiel'; 
   DROP TABLE cuentas;
   --'

introducir la descripción de la imagen aquí

Lo mismo pasará en las otras sentencias que interpolan variables manualmente. La manera segura es usar prepared statements.

$conn = new mysqli($servername, $username, $password, $dbname);

$sentencia_existe = 'SELECT Email,Usuario  FROM `cuentas` WHERE Email=? OR  Usuario=?';

if (!$stmt_existe = $conn->prepare($sentencia_existe)) {
    printf("Error: %s.\n", $stmt_existe->error);
    exit();
}

$stmt_existe->bind_param('ss', $Email, $Usuario);
$stmt_existe->execute();
$stmt_existe->store_result();

$ExisteUsuariooMail = $stmt_existe->num_rows;
$stmt_existe->close();

if ($ExisteUsuariooMail > 0) {
    echo 'El correo o el user esta en uso';
    exit();
}

Lo mismo con el insert:

$sentencia_insercion = 'INSERT INTO `cuentas`
            (`Nombre`, `Apellido`, `Usuario`,`Email`,`Contraseña`)
            VALUES (?, ?, ?, ?, ?)';

if (!$stmt_insercion = $conn->prepare($sentencia_insercion)) {
    printf("Error: %s.\n", $stmt_insercion->error);
    exit();
}

$stmt_insercion->bind_param('sssss', $Nombre, $Apellido, $Usuario, $Email, $Contraseña);
$stmt_insercion->execute();
$stmt_insercion->close();
header('Location: login.html');
exit();

Con respecto a esto:

Si cambio el útimo else (para ver si el correo o el usuario esta en uso) únicamente me entra al else, no sé si tendrá algo que ver.

Esto no se entiende. ¿Qué cambio haces específicamente?