Skip to main content
Mejora de formato
Origen Enlace
D.Bulten
  • 6.6k
  • 2
  • 25
  • 42
<?php

//Reseteo variables.
$msg = $nombre = $apellido = $tipo_doc = $documento = $direccion = $telf = NULL;

//Comprobación definición formulario, mediante el identificador input submit.    
if(isset($_POST['registrar'])){

    //Comprobamos que no haya ningun campo vacio del formulario.
    if (empty($_POST['nnombre']) &&|| empty($_POST['napellido']) &&|| empty($_POST['ndoc']) &&|| empty($_POST['ndireccion']) &&|| empty($_POST['ntelf'])) {
        //Mensaje Error.
        $msg = "Ups, todos los campos del formulario son obligatorios.";
    } else {
        //Verdadero, obtenemos datos.
        $nombre = $_POST['nnombre'] ?: '';
        $apellido = $_POST['napellido'] ?: '';  
        $tipo_doc = $_POST['ntdoc'] ?: '';
        $documento = $_POST['ndoc'] ?: '';
        $direccion = $_POST['ndireccion'] ?: '';
        $telf = $_POST['ntelf'] ?: '';
    }

    //Comprobamos que todos nuestros datos sean verdadero.
    if ($nombre && $apellido && $tipo_doc && $documento && $direccion && $telf) {

        //Requeremos conexión MySQL (¡Importante! Llamamos a nuestra conexión donde vamos a utilizarlo).
        require_once'conexion.php';
        
        //Sentencia preparada.
        $sql = $conn->prepare("INSERT INTO cliente (nombre,apellidos,tipo_doc,dni,direccion,telfmovil) VALUES (?,?,?,?,?,?)");      

        //Ligamos parametros marcadores (?,?,?,... es decir, $nombre,$apellido,$tipo_doc,...)
    
        //Especificación del tipo de caracteres:

        //i     la variable correspondiente es de tipo entero
        //d     la variable correspondiente es de tipo double
        //s     la variable correspondiente es de tipo string
        //b     la variable correspondiente es un blob y se envía en paquetes
        
        $sql->bind_param("ssssss",$nombre,$apellido,$tipo_doc,$documento,$direccion,$telf); 

        //Ejecutar sentencia
        $ejecutar = $sql->execute();
        
        //Comprobamos que se ejecutó correctamente.
        if (false===$ejecutar) { #Falso

            exit('execute() failed: ' . htmlspecialchars($sql->error));

        } else { #Verdadero.

            //Mensaje OK.
            $msg = ucfirst($nombre) . " tus datos se registraron con exito.";
        }

        //Cerrar sentencia.
        $sql->close();      

    }

}//Fin isset.

//Mensajes OK / ERRORES.
echo $msg;        

?>
<?php

//Reseteo variables.
$msg = $nombre = $apellido = $tipo_doc = $documento = $direccion = $telf = NULL;

//Comprobación definición formulario, mediante el identificador input submit.    
if(isset($_POST['registrar'])){

    //Comprobamos que no haya ningun campo vacio del formulario.
    if (empty($_POST['nnombre']) && empty($_POST['napellido']) && empty($_POST['ndoc']) && empty($_POST['ndireccion']) && empty($_POST['ntelf'])) {
        //Mensaje Error.
        $msg = "Ups, todos los campos del formulario son obligatorios.";
    } else {
        //Verdadero, obtenemos datos.
        $nombre = $_POST['nnombre'] ?: '';
        $apellido = $_POST['napellido'] ?: '';  
        $tipo_doc = $_POST['ntdoc'] ?: '';
        $documento = $_POST['ndoc'] ?: '';
        $direccion = $_POST['ndireccion'] ?: '';
        $telf = $_POST['ntelf'] ?: '';
    }

    //Comprobamos que todos nuestros datos sean verdadero.
    if ($nombre && $apellido && $tipo_doc && $documento && $direccion && $telf) {

        //Requeremos conexión MySQL (¡Importante! Llamamos a nuestra conexión donde vamos a utilizarlo).
        require_once'conexion.php';
        
        //Sentencia preparada.
        $sql = $conn->prepare("INSERT INTO cliente (nombre,apellidos,tipo_doc,dni,direccion,telfmovil) VALUES (?,?,?,?,?,?)");      

        //Ligamos parametros marcadores (?,?,?,... es decir, $nombre,$apellido,$tipo_doc,...)
    
        //Especificación del tipo de caracteres:

        //i     la variable correspondiente es de tipo entero
        //d     la variable correspondiente es de tipo double
        //s     la variable correspondiente es de tipo string
        //b     la variable correspondiente es un blob y se envía en paquetes
        
        $sql->bind_param("ssssss",$nombre,$apellido,$tipo_doc,$documento,$direccion,$telf); 

        //Ejecutar sentencia
        $ejecutar = $sql->execute();
        
        //Comprobamos que se ejecutó correctamente.
        if (false===$ejecutar) { #Falso

            exit('execute() failed: ' . htmlspecialchars($sql->error));

        } else { #Verdadero.

            //Mensaje OK.
            $msg = ucfirst($nombre) . " tus datos se registraron con exito.";
        }

        //Cerrar sentencia.
        $sql->close();      

    }

}//Fin isset.

//Mensajes OK / ERRORES.
echo $msg;        

?>
<?php

//Reseteo variables.
$msg = $nombre = $apellido = $tipo_doc = $documento = $direccion = $telf = NULL;

//Comprobación definición formulario, mediante el identificador input submit.    
if(isset($_POST['registrar'])){

    //Comprobamos que no haya ningun campo vacio del formulario.
    if (empty($_POST['nnombre']) || empty($_POST['napellido']) || empty($_POST['ndoc']) || empty($_POST['ndireccion']) || empty($_POST['ntelf'])) {
        //Mensaje Error.
        $msg = "Ups, todos los campos del formulario son obligatorios.";
    } else {
        //Verdadero, obtenemos datos.
        $nombre = $_POST['nnombre'] ?: '';
        $apellido = $_POST['napellido'] ?: '';  
        $tipo_doc = $_POST['ntdoc'] ?: '';
        $documento = $_POST['ndoc'] ?: '';
        $direccion = $_POST['ndireccion'] ?: '';
        $telf = $_POST['ntelf'] ?: '';
    }

    //Comprobamos que todos nuestros datos sean verdadero.
    if ($nombre && $apellido && $tipo_doc && $documento && $direccion && $telf) {

        //Requeremos conexión MySQL (¡Importante! Llamamos a nuestra conexión donde vamos a utilizarlo).
        require_once'conexion.php';
        
        //Sentencia preparada.
        $sql = $conn->prepare("INSERT INTO cliente (nombre,apellidos,tipo_doc,dni,direccion,telfmovil) VALUES (?,?,?,?,?,?)");      

        //Ligamos parametros marcadores (?,?,?,... es decir, $nombre,$apellido,$tipo_doc,...)
    
        //Especificación del tipo de caracteres:

        //i     la variable correspondiente es de tipo entero
        //d     la variable correspondiente es de tipo double
        //s     la variable correspondiente es de tipo string
        //b     la variable correspondiente es un blob y se envía en paquetes
        
        $sql->bind_param("ssssss",$nombre,$apellido,$tipo_doc,$documento,$direccion,$telf); 

        //Ejecutar sentencia
        $ejecutar = $sql->execute();
        
        //Comprobamos que se ejecutó correctamente.
        if (false===$ejecutar) { #Falso

            exit('execute() failed: ' . htmlspecialchars($sql->error));

        } else { #Verdadero.

            //Mensaje OK.
            $msg = ucfirst($nombre) . " tus datos se registraron con exito.";
        }

        //Cerrar sentencia.
        $sql->close();      

    }

}//Fin isset.

//Mensajes OK / ERRORES.
echo $msg;        

?>
replaced http://es.stackoverflow.com/ with https://es.stackoverflow.com/
Origen Enlace
se añadieron 1213 caracteres en el cuerpo
Origen Enlace
D.Bulten
  • 6.6k
  • 2
  • 25
  • 42

Te voy a contestar a tu recompensa adicional, ya que la respuesta que esta aceptada está claro y correcto, el código PHP la he avanzado un poco, que es la parte que veo demasiado vulnerable, un caso del código actual, no veo lógico obtener directamente los datos desde el formulario sin ninguna comprobación en PHP.

En este caso podríamos hacer antes una comprobación si está definida nuestro formulario y comprobaría que ningún campo (input) este vacío, y en caso contrario obtendría los datos.

Para obtener los datos, utilizaría mysqli_real_escape_string(), cuando uno utiliza sentencias mysqli, en caso de usar sentencias prepare() no sería correcto usar dicha función.

mysqli_real_escape_string — Escapa los caracteres especiales de una cadena para usarla en una sentencia SQL, tomando en cuenta el conjunto de caracteres actual de la conexión

Ejemplo:

$nombre = mysqli_real_escape_string($conn, $_POST['nnombre']);

Nota: podríamos hacer más comprobaciones si uno desea implementar más seguridad, como contar el mínimo y el máximo en caracteres de una cadena obtenido desde el formulario o algún expresión regular PHP para validar el documentos DNI, etc.

Como te han mencionado, es mejor crear sentencias preparadas para proteger mejor nuestras sentencias contra ataques de inyección SQL

Como te han mencionado, es mejor crear sentencias preparadas para proteger mejor nuestras sentencias contra ataques de inyección SQL

Te voy a contestar a tu recompensa adicional, ya que la respuesta que esta aceptada está claro y correcto, el código PHP la he avanzado un poco, que es la parte que veo demasiado vulnerable, un caso del código actual, no veo lógico obtener directamente los datos desde el formulario sin ninguna comprobación en PHP.

En este caso podríamos hacer antes una comprobación si está definida nuestro formulario y comprobaría que ningún campo (input) este vacío, y en caso contrario obtendría los datos.

Para obtener los datos, utilizaría mysqli_real_escape_string(), cuando uno utiliza sentencias mysqli, en caso de usar sentencias prepare() no sería correcto usar dicha función.

mysqli_real_escape_string — Escapa los caracteres especiales de una cadena para usarla en una sentencia SQL, tomando en cuenta el conjunto de caracteres actual de la conexión

Ejemplo:

$nombre = mysqli_real_escape_string($conn, $_POST['nnombre']);

Nota: podríamos hacer más comprobaciones si uno desea implementar más seguridad, como contar el mínimo y el máximo en caracteres de una cadena obtenido desde el formulario o algún expresión regular PHP para validar el documentos DNI, etc.

Como te han mencionado, es mejor crear sentencias preparadas para proteger mejor nuestras sentencias contra ataques de inyección SQL

se eliminaron 26 caracteres en el cuerpo
Origen Enlace
D.Bulten
  • 6.6k
  • 2
  • 25
  • 42
Loading
Origen Enlace
D.Bulten
  • 6.6k
  • 2
  • 25
  • 42
Loading