1

introducir la descripción de la imagen aquíTengo un problema con este código. Quiero mostrar la información de un usuario logeado, pero me aparece un error.

Básicamente ésta sería la consulta que estoy realizando dentro de un perfil:

             $consulta = "SELECT * FROM users WHERE id = $id_usuario";
             $resultado = mysqli_query($conexion, $consulta);

             while($dato = mysqli_fetch_array($resultado, MYSQLI_ASSOC)){

            ?>
       <ul>
           <li>Nombre:    <span> <?php echo $dato['nombre'] ?> </span></li>
           <li>Correo:    <span> <?php echo $dato['correo'] ?> </span></li>
           <li>Dirección: <span> <?php echo $dato['direccion'] ?> </span></li>
           <li>Teléfono:  <span> <?php echo $dato['telefono'] ?> </span></li>
       </ul>
       <?php } ?> 

pero cuando entro en dicho perfil me aparece el siguiente error:

Notice: Undefined index: id_usuario in C:\xampp\htdocs\01_Codes\bienvenido.php on line 67 Warning: mysqli_fetch_array() expects parameter 1 to be mysqli_result, boolean given in C:\xampp\htdocs\01_Codes\bienvenido.php on line 72

Agradecería muchísimo si me ayudan a resolver este problema!!

9
  • 1
    justo despues de la varibale $resultado escribe lo siguiente para ver que error esta generandose if (!$resultado) { echo( mysqli_error($conexion)); }
    – user75901
    Commented el 17 nov. 2018 a las 16:37
  • buen día gracias por responder esto es lo que aparece You have an error in your SQL syntax; check the manual that corresponds to your MariaDB server version for the right syntax to use near '' at line 1 Commented el 17 nov. 2018 a las 16:45
  • duda, si estas declarando la variable $id_usuario es decir al momento de usarlo en tu consulta si existe y tiene valor asignado?
    – user75901
    Commented el 17 nov. 2018 a las 16:55
  • prueba dentro de ese mismo bloque de código asignarle un valor fijo a tu variable, es decir que tenga esto: $id_usuario = 1 ejecuta de nuevo la consulta y comentanos
    – user75901
    Commented el 17 nov. 2018 a las 17:00
  • $id_usuario = $_SESSION["id_usuario"]; esta la tengo al principio antes de $consulta Commented el 17 nov. 2018 a las 17:03

1 respuesta 1

0

Según lo que dice el error, el valor de $_SESSION['id_usuario'] no está definido. Tienes que comprobar que el código que crea esa variable funcione correctamente.

Pero lo más importante es que tienes dos fallos de seguridad muy graves en tu código:

El primero, guardar las contraseñas de tus usuarios en texto plano. Debes utilizar un cifrado seguro para las contraseñas para garantizar la seguridad de tus usuarios ante posibles hackeos, sobre todo por el siguiente fallo que tienes. Usa la función password_hash($contraseña, PASSWORD_BCRYPT) para generar el $hash que almacenarás (en lugar de la contraseña). Usa password_verify($contraseña, $hash) para verificar si la contraseña introducida por el usuario coincide con la registrada (en lugar de comparar las contraseñas).

El segundo fallo es utilizar directamente el valor de variables como $_SESSION, $_COOKIES, $_POST o $_GET directamente en una consulta SQL sin validar el valor o al menos filtrarlo. Estas variables pueden ser modificadas fácilmente en el cliente. Un atacante puede introducir y ejecutar fácilmente código en tu base de datos que le permita obtener acceso a todos tus datos. Para solucionar este problema deberías filtrar la variable con mysqli_real_escape_string($variable), utilizar comillas al rededor de la variable en las consultas (ej: "SELECT name, age FROM users WHERE id = '$uid'", fíjate que $uid está dentro de comillas simples) y comprobar si el valor recibido tiene el formato esperado comprobando el valor (texto, número entero, decimal, email, url, contraseña), longitud de la cadena, etc.

9
  • No es necesario pasar la variable entre comillas simples, aún sin ellas debe funcionar
    – user75901
    Commented el 17 nov. 2018 a las 21:38
  • hacer eso no brinda seguridad en ningún sentido, el único modo de tener seguridad es empezar por usar sentencias preparadas
    – user75901
    Commented el 17 nov. 2018 a las 21:47
  • No digo que poner comillas dobles sea hacerte invulnerable, pero sin duda protegen más que no ponerlas. Una vez escapada la variable con mysqli_real_escape_string() el usuario aún puede poner ; para cerrar la sentencia y empezar otra. No puedes negar que evitas ese problema al poner las comillas.
    – Rhuan
    Commented el 17 nov. 2018 a las 22:01
  • te invito a leer las publicaciones de los usuarios de mas alto puntaje, de esta comunidad donde explican que de hecho mysqli_real_escape_string no ayuda practicamente en nada
    – user75901
    Commented el 17 nov. 2018 a las 22:09
  • bueno gracias por responder pero digamos que la verificación por el momento no es lo que tengo en mente si, solo quiero que cuando un usuario inicie sesión aparezca la información básica del mismo. solucioné lo de arriba como *Shadow dijo $id_usuario = 1; me sale el resultado del primer campo registrado, pero la cuestión es que aparezca para cada uno con su propia información Commented el 17 nov. 2018 a las 22:11

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.