2

Me gustaría introducir a través de PHP a MySQL información de un formulario con su fecha de nacimiento. El problema es que por más que lo intento en la BBDD se introduce el valor 0000-00-00. Si escribo la fecha directamente en el Insert no hay problema, el problema aparece cuando intento pasar las variables que contienen esa información.

if(isset($_GET["name"])){

    $name=$_GET['name'];
    $lastName=$_GET['lastName'];
    $age=$_GET['age'];
    $dd=$_GET['dd'];
    $mm=$_GET['mm'];
    $yyyy=$_GET['yyyy'];



    $conexion=mysqli_connect($hostname,$username,$password,$database);

    //INSERT INTO Patient(Patient_Name,Patient_LastName,Patient_Age,Patient_DOB) VALUES ("Pablo", "Mendosa",23,"2000-12-1");


    $consulta= " Insert into Patient(Patient_Name,Patient_LastName,Patient_Age,Patient_DOB) values ('{$name}','{$lastName}','{$age}','{$yyyy}'-'{$mm}'-'{$dd}')";

    $resultado=mysqli_query($conexion,$consulta);
2
  • Tienes errores tipográficos. Te sobran 4 comillas simples ( ' ). Debería ser ... values ('{$name}','{$lastName}','{$age}','{$yyyy}-{$mm}-{$dd}')".
    – Trauma
    Commented el 8 dic. 2018 a las 8:14
  • Aparte del error que te señala @Trauma, hay ademas errores de concepción y de seguridad en tu planteamiento. La edad se calcularía fácilmente conociendo la fecha de nacimiento y es un dato tan variable que puede cambiar todos los días, por eso su mantenimiento puede ser muy costoso, no veo necesario que deba ser un valor almacenado en la BD, sino calculado en tiempo real, cuando se necesite. Por otra parte, tu código es vulnerable a ataques de inyección SQL. Considera el uso de consultas preparadas para corregir esa vulnerabilidad.
    – A. Cedano
    Commented el 8 dic. 2018 a las 9:11

1 respuesta 1

0

El error ocurre porque aquí:

'{$yyyy}'-'{$mm}'-'{$dd}'

cada comilla impide que los valores del año, mes, día sean tratados en conjunto.

La solución sería escribir la fecha rodeada por comillas simples al principio y al final de los tres valores que la componen:

$consulta= " Insert into Patient(Patient_Name,Patient_LastName,Patient_Age,Patient_DOB) values ('{$name}','{$lastName}','{$age}','{$yyyy}-{$mm}-{$dd}')";

Sin embargo, tu código es vulnerable a ataques de Inyección SQL. Para neutralizarlo puedes usar consultas preparadas.

Aprovecho para introducir algunas mejoras:

<?php 

    $name=     ( empty($_GET['name']) )     ?  NULL  : $_GET['name'];
    $lastName= ( empty($_GET['lastName']) ) ?  ""    : $_GET['lastName'];
    $age=      ( empty($_GET['age']) )      ?  0     : $_GET['age'];
    $dd=       ( empty($_GET['dd']) )       ?  00    : $_GET['dd'];
    $mm=       ( empty($_GET['mm']) )       ?  00    : $_GET['mm'];
    $yy=       ( empty($_GET['yy']) )       ?  0000  : $_GET['yy'];
    $dob="$yy$mm$dd";

    if ($name){

        if( $conexion=mysqli_connect($hostname,$username,$password,$database) ){
            /*
                *En las consultas preparadas los valores 
                *que irían directamente a ejecución 
                *son cambiados por marcadores (?)
                *porque esos valores pueden ser manipulados 
                *para introducir código dañino
            */
            $sql= "INSERT INTO Patient(Patient_Name,Patient_LastName,Patient_Age,Patient_DOB) 
                   VALUES (?,?,?,?)";
            if ($stmt = mysqli_prepare($conexion, $sql)) {
                /*
                    *Es aquí donde se pasan los valores al manejador
                    *el cual se encarga de sanearlos y neutralizar
                    *cualquier intento de inyección
                    *Las letras "ssis" indican de qué tipo es el dato 
                    *(s) es cadena o string, (i) es entero o integer
                    *Los valores tienen que ir en el orden en que están
                    *en la consulta $sql
                */
                mysqli_stmt_bind_param($stmt, "ssis", $name,$lastName,$age,$dob);
                if( mysqli_stmt_execute($stmt) ) {
                    $msg=printf("Se insertaron %d filas", mysqli_stmt_affected_rows($stmt));
                }else{
                    $msg=printf("Error: %s ejecutando la consulta", mysqli_stmt_error($stmt));
                }
                mysqli_stmt_close($stmt);
            }else{
                    $msg=printf("Error: %s preparando la consulta", mysqli_error($conexion));
            }
            mysqli_close($conexion);
        }else{
            $msg=printf("Error de conexión: %s", mysqli_connect_error());
        }
    }else{
        $msg="El nombre estaba vacío";  
    }
    echo $msg;
?>

He puesto algunos comentarios dentro del código, en las partes más neurálgicas.

También se ha establecido un control estricto, de forma que siempre informe de lo que haya ocurrido. Tu código original era mudo en algunos aspectos: si la consulta fallaba por clave duplicada, o por error de sintaxis, o porque la conexión no estaba disponible. En ninguno de esos casos sabrías si la consulta se ejecutó o no ni cual fue el resultado de la misma.

Espero te sea de utilidad.

2
  • Muchísimas gracias por tu respuesta, me has ayudado muchísimo no solo con la consulta sino también con la seguridad que es un tema pendiente en PHP que tengo. Saludos y siempre agradecido.
    – Fulano
    Commented el 9 dic. 2018 a las 1:39
  • @Fulano, me alegro de que la respuesta te haya ayudado a resolver el problema. Por favor, cuando sea posible l◔_◔: ¿Qué debo hacer cuando alguien contesta mi pregunta? en el Centro de Ayuda.
    – A. Cedano
    Commented el 11 dic. 2018 a las 0:14

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.