0

Yo envio un formulario, y tengo username como valor de POST, la forma básica sería:

$username = $_POST['username'];

Pero ahora he empezado a usar esta:

$username = $mysqli->quote($_POST['username']);

mysqli es la conexión a la DB, (es conexión PDO, solo que mysqli es el nombre de la conexión) y uso quote para que ponga el valor entre ''

Luego aplico un str_replace("'", "", $username); y quito las ''

¿Existe otro método mejor para obtener los datos?

11
  • 4
    Si el primer metodo funciona.. porque usar el segundo?? que hace un monton de cosas innecesarias????
    – gbianchi
    Commented el 29 jun. 2018 a las 22:33
  • además que no por usarlo, remediará posibles ataques; pues aún falta ahí por ejemplo el uso de sentencias preparadas
    – user75901
    Commented el 29 jun. 2018 a las 22:37
  • @gbianchi por añadir seguridad, también he visto el escape_string de mysqli, pero no me funciona
    – user71085
    Commented el 29 jun. 2018 a las 22:39
  • la seguridad como lo mencionas, va mas alla con sentencias preparadas, asegurar el tipo de dato que se recibirá etc, etc
    – user75901
    Commented el 29 jun. 2018 a las 22:39
  • 1
    Lo que da seguridad al código es el uso de consultas preparadas, con ellas no tienes que escapar nada, porque ya esta metodología se encarga de hacerlo. Escapar algo en ese caso lo único que hace es sobrecargar el código. Lo importante es que no pases las variables directamente en la consulta sino aparte mediante bindParam o en el execute. Lo que sí deberías es usar isset o empty para obtener los valores del POST y evitar los Undefined index, eso no tiene que ver con la seguridad, sino con buenas prácticas de programación. Y conviene que llames las cosas por su nombre: $pdo
    – A. Cedano
    Commented el 29 jun. 2018 a las 23:17

1 respuesta 1

1

Con los datos que vienen desde formularios yo uso una estrategia muy simple:

  1. Combinación de empty y de un operador ternario a través del cual asigno NULL u otro valor a la variable.
  2. Según la lógica del código, validar las operaciones de base de datos o no, evaluando si las variables esenciales contienen datos.

Lo explico con un ejemplo:

Supongamos un formulario que envía tres campos para ser insertados en la base de datos: nombre, apellido, fecha_nacimiento. De esos campos los primeros dos son esenciales (o sea, no pueden existir ningún registro sin nombre y sin apellido, pero sí puede existir sin fecha de nacimiento).

Primero recojo los valores del POST en variables:

$nombre=(empty($_POST["nombre"]))     ? NULL :   $_POST["nombre"];
$apellido=(empty($_POST["apellido"])) ? NULL :   $_POST["apellido"];
$nombre=(empty($_POST["fecha"]))      ? ""   :   $_POST["fecha"];

empty tiene una ventaja, y es que si alguna de las variables no existe en el POST no llena el log de mensajes del tipo Undefined index.

Mi estrategia ha consistido en asignar NULL a mis dos variables esenciales en caso de no tener datos en POST. De ese modo, evalúo mediante un if esas dos variables y no ejecuto la inserción por lo que dije antes: no pueden existir registros sin nombre ni apellido en la BD.

Entonces:

if($nombre && $apellido){
    /*
        *Aquí todo lo relativo a la conexión
        *por cierto, usa nombres descriptivos
        *si usas PDO, no llames a tu variable $mysqli
        *El código no fallará, pero a PDO no le gustará eso :)
        *Y cualquiera que lea tu código se le hará difícil entenderlo
    */

    /*
        *Una vez creada la conexión, no hay que andar escapando nada
        *sino simplemente aplicar consultas preparadas
    */
    $sql="INSERT INTRO tabla (nombre, apellido, fecha) VALUES (?,?,?)";
    $stmt=$pdo->prepare($sql);
    /*
        *Aquí recogemos otro fruto de la estrategia aplicada antes
        *nos olvidamos ya de POST y usamos nuestras variables
    */
    $arrParams=array($nombre,$apellido,$fecha);
    $stmt->excute($arrParams);

    /*
        *Aquí puedes si quieres imprimir un mensaje de filas insertadas
        *Antes de todo esto a veces es bueno evaluar si el prepare y el execute
        *fueron exitosos o no. No lo he hecho aquí porque ese es otro tema
        *Omitiré también todo el código de cierre de recursos
    */
}else{
    echo "No se pasaron datos en el nombre y el apellido. Es imposible hacer la insercion";
}

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.