Te voy a contestar a tu recompensa adicional, ya que la respuesta que esta aceptada está claro y correcto, el código PHP
la he avanzado un poco, que es la parte que veo demasiado vulnerable, un caso del código actual, no veo lógico obtener directamente los datos desde el formulario sin ninguna comprobación en PHP
.
En este caso podríamos hacer antes una comprobación si está definida nuestro formulario y comprobaría que ningún campo (input) este vacío, y en caso contrario obtendría los datos.
Para obtener los datos, utilizaría mysqli_real_escape_string()
, cuando uno utiliza sentencias mysqli
, en caso de usar sentencias prepare()
no sería correcto usar dicha función.
mysqli_real_escape_string
— Escapa los caracteres especiales de una cadena para usarla en una sentencia SQL, tomando en cuenta el conjunto de caracteres actual de la conexión
Ejemplo:
$nombre = mysqli_real_escape_string($conn, $_POST['nnombre']);
Nota: podríamos hacer más comprobaciones si uno desea implementar más seguridad, como contar el mínimo y el máximo en caracteres de una cadena obtenido desde el formulario o algún expresión regular PHP
para validar el documentos DNI, etc.
Como te han mencionado, es mejor crear sentencias preparadas
para proteger mejor nuestras sentencias contra ataques de inyección SQL