0

Tengo un problema con una consulta. Quiero mostrar el total de mensajes que se le ha enviado a cada usuario.

Ejemplo: Carlos tiene 2 mensajes y Juan tiene 1 mensaje pero cuando entro en la sesión de Carlos me aparece 3 mensajes. Osea, me lo está contando en el total de los mensajes y no por la sesión de ese usuario.

NOTA: sé que este código está obsoleto, pero son trozos de sistemas que estoy terminando para luego migrar a PDO.

Anexo el código:

<!-- proceso para consultar-->
<?php
$login= $_SESSION['login'];
$password=$_SESSION['password'];
$sql = "SELECT * FROM usuario WHERE login='$login' AND 
password='$password'";
$resultl=mysql_query($sql,$link);//devuelve la consulta
$_editar_linea=mysql_fetch_array($resultl);{
?>
<?php
$sql = "SELECT * FROM mjs INNER JOIN usuario ON mjs.fk_cedula=usuario.id 
WHERE idnivel_usuario='Empleado' AND estado_mjs='No leido'";
$resultl=mysql_query($sql,$link)or die("Error en: $busqueda: " . 
mysql_error());
$campo=mysql_fetch_array($resultl);
$totalmjs=mysql_num_rows($resultl);
{
?>
 <li><a href="mjs.php">Mjs <span class="new badge blue"><?=$totalmjs?>
</span></a></li>
<?php
}
?>
<?php
}
?>
<!--fin proceso para consultar-->

2 respuestas 2

2

El problema que estás sufriendo es que estás contando TODOS los registros en la tabla mjs que cumplan la condición idnivel_usuario='Empleado' AND estado_mjs='No leido' y no estás teniendo en cuenta que el destinatario sea el usuario en cuestión.

Personalmente no te recomiendo almacenar en las variables de sesión el usuario y contraseña del usuario, es información sensible que podría ser robada del servidor. Deberías guardar información útil sobre el usuario al que pertenece la sesión, por ejemplo su identificador de usuario, usuario.id, con lo que te ahorras:

  1. Comprobar en cada acceso a un PHP la comprobación de usuario y contraseña.
  2. Consultar la tabla de usuarios para obtener el identificador de usuario para acceder a sus datos de otras tablas relacionadas.

Dejando de lado esos temas (si quieres me lo puedes pedir y te podría hacer un ejemplo de cómo se haría correctamente) te expongo el código que funciona correctamente y una breve explicación:

<!-- proceso para consultar-->
<?php
if (!isset($_SESSION['usuario.id'])) {
  $login = mysql_real_escape_string($_SESSION['login']);
  $password = mysql_real_escape_string($_SESSION['password']);
  $sql = "SELECT id FROM usuario WHERE login='$login' AND 
password='$password'";
  $resultl = mysql_query($sql,$link);//devuelve la consulta
  if ($resultl === false) {
    die(mysql_error());
  }
  $_editar_linea = mysql_fetch_assoc($resultl);
  if ($_editar_linea === false) {
    die('Acceso denegado');
  }
  $_SESSION['usuario.id'] = $_editar_linea['id'];
}
$id_usuario = mysql_real_escape_string($_SESSION['usuario.id']);
$sql = "
  SELECT
    COUNT(*) numero
  FROM
    mjs
  WHERE
    idnivel_usuario = 'Empleado'
  AND
    estado_mjs = 'No leido'
  AND
    fk_cedula = '$id_usuario'
";
$resultl = mysql_query($sql,$link) or die("Error en: $sql: " . 
mysql_error());
$campo = mysql_fetch_assoc($resultl);
?>
 <li><a href="mjs.php">Mjs <span class="new badge blue"><?= htmlspecialchars($campo['numero']) ?>
</span></a></li>
<!--fin proceso para consultar-->

Para empezar, debes escapar las cadenas de caracteres correctamente antes de introducirlas en una consulta SQL. Ya que no tienes a tu disposición consultas preparadas con asociación de variables (como ofrece PDO o mysqli) entonces debes hacer uso de la función mysql_real_escape_string().

Si no lo haces podrías sufrir ataques de inyección SQL que expusieran información sensible de tu empresa. Para empezar, como no usas algoritmos de hash para almacenar las contraseñas en tu base de datos, podrían acceder a los usuarios y contraseñas en texto plano.

He creado un bloque de control inicial para ahorrar la consulta a la base de datos para obtener el usuario.id. Sólo se obtendrá la primera vez, las siguientes visitas se reutilizará el valor almacenado en las variables de sesión.

La consulta SELECT COUNT(*) numero obtendrá el número de registros sin tener que sobrecargar al servidor MySQL enviando todos y cada uno de los mensajes al script PHP (y también ahorrando memoria en ambos extremos) con un alias numero para ser accedido desde el resultado.

En algunos lados de tu código abres bloques de código { ... } sin asociar a ninguna instrucción de control que no son necesarios y, por lo tanto, los he eliminado de mi respuesta.

Por último, aunque sé que es un número, te recomiendo que uses htmlspecialchars() siempre que vayas a mostrar en el documento información obtenida de la base de datos para evitar ataques de inyección HTML, CSS y/o JS.

3
0

ya lo he resuelto amigos queda de la siguiente forma

    <!-- proceso para consultar-->
    <?php
    $login= $_SESSION['login'];
    $password=$_SESSION['password'];
$sql = "SELECT * FROM mjs, usuario  WHERE usuario.login='$login' AND 
usuario.password='$password' AND 
usuario.idnivel_usuario='Empleado' AND mjs.estado_mjs='No leido' AND 
mjs.fk_cedula=usuario.id";
$resultl=mysql_query($sql,$link)or die("Error en: $busqueda: " . 
mysql_error());
$campo=mysql_fetch_array($resultl);
$totalmjs=mysql_num_rows($resultl);
{
?>
<li><a href="mjs.php">Mjs <span class="new badge blue"><?=$totalmjs?></span>
</a></li>
<?php
}
?>
<!--fin proceso para consultar-->

doy por cerrado el tema

1
  • 1
    Me alegra que solucionaras tu problema. Pero para que sea una buena respuesta, responde como si no fueras tambien el que pregunta. Explica qué habia mal en la pregunta y como tu respuesta lo soluciona. Pegar codigo solamente no es recomendable. En 48h podrás aceptar tu respuesta. Un saludo
    – lois6b
    Commented el 2 may. 2017 a las 7:27

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.