2

Quiero saber qué está fallando en mi código, necesito insertar los datos a una base de datos con pdo para evitar inyecciones SQL. Ayuda por favor, les dejo el error que me figura:

( ! ) SCREAM: Error suppression ignored for ( ! ) Fatal error: Call to a member function bindParam() on a non-object in C:\wamp\www\Santiago Casas\ext\inmobiliaria\panel\validate\propiedad.php on line 616

//El archivo de conexion

<?php 

  $servername = "127.0.0.1";

  $username = "root";

  $password = "";
  
  $dbname = "santiago_casas";


  // Create connection
  $mysqli = new mysqli($servername, $username, $password, $dbname);



 ?>

<?php 

require_once '../inc/session.php';

?>
<?php 

	require_once '../inc/conexion.php';

//-------------------------------------//


$titulo = $_POST['titulo'];

$descripcion = $_POST['descripcion'];

$operacion = $_POST['operacion'];

$tipo = $_POST['tipo'];

$habitaciones = $_POST['habitaciones'];

$banos = $_POST['banos'];

$metros = $_POST['metros'];

$ubicacion = $_POST['ubicacion'];

$direccion = $_POST['direccion'];

$telefono = $_POST['telefono'];

$precio = $_POST['precio'];

$usuario = $_POST['usuario'];

$inmobiliaria = $_POST['inmobiliaria'];

$moneda = $_POST['moneda'];


// Protejemos los datos contra inyecciones SQL


$titulo = $mysqli->real_escape_string($titulo);

$descripcion = $mysqli->real_escape_string($descripcion);

$operacion = $mysqli->real_escape_string($operacion);

$tipo = $mysqli->real_escape_string($tipo);

$habitaciones = $mysqli->real_escape_string($habitaciones);

$banos = $mysqli->real_escape_string($banos);

$metros = $mysqli->real_escape_string($metros);

$ubicacion = $mysqli->real_escape_string($ubicacion);

$direccion = $mysqli->real_escape_string($direccion);

$telefono = $mysqli->real_escape_string($telefono);

$precio = $mysqli->real_escape_string($precio);

$usuario = $mysqli->real_escape_string($usuario);

$inmobiliaria = $mysqli->real_escape_string($inmobiliaria);

$moneda = $mysqli->real_escape_string($moneda);


 





$sentencia = $mysqli->prepare("INSERT INTO propiedades (titulo, descripcion, operacion, tipo, habitaciones, banos, m2, ubicacion, direccion, telefono, precio, usuario, inmobiliaria, moneda, imagen1, imagen2, imagen3, imagen4, imagen5, imagen6, imagen7, imagen8, imagen9, imagen10, imagen11, imagen12) 

	VALUES (:titulo, :descripcion, :operacion, :tipo, :habitaciones, :banos, :metros, :ubicacion, :direccion, :telefono, :precio, :usuario, :inmobiliaria, :moneda)");

$sentencia->bindParam(':titulo', $titulo);

$sentencia->bindParam(':descripcion', $descripcion);

$sentencia->bindParam(':operacion', $operacion);

$sentencia->bindParam(':tipo', $tipo);

$sentencia->bindParam(':habitaciones', $habitaciones);

$sentencia->bindParam(':banos', $banos);

$sentencia->bindParam(':metros', $metros);

$sentencia->bindParam(':ubicacion', $ubicacion);

$sentencia->bindParam(':direccion', $direccion);

$sentencia->bindParam(':telefono', $telefono);

$sentencia->bindParam(':precio', $precio);

$sentencia->bindParam(':usuario', $usuario);

$sentencia->bindParam(':inmobiliaria', $inmobiliaria);

$sentencia->bindParam(':moneda', $moneda);






// Termino la proteccion de datos contra Inyecciones SQL
 
//Empezamos la consulta INSERT


/*$sql = $mysqli->query("

	INSERT INTO propiedades (titulo, descripcion, operacion, tipo, habitaciones, banos, m2, ubicacion, direccion, telefono, precio, usuario, inmobiliaria, moneda, imagen1, imagen2, imagen3, imagen4, imagen5, imagen6, imagen7, imagen8, imagen9, imagen10, imagen11, imagen12) 

	VALUES ('$titulo', '$descripcion', '$operacion', '$tipo', '$habitaciones', '$banos', '$metros', '$ubicacion', '$direccion', '$telefono', '$precio', '$usuario', '$inmobiliaria', '$moneda', '$imagen1', '$imagen2', '$imagen3', '$imagen4', '$imagen5', '$imagen6', '$imagen7', '$imagen8', '$imagen9', '$imagen10', '$imagen11', '$imagen12')");*/



if ($sentencia) {	

	header("Location: ../propiedades.php");

}else{
	
	header("Location: ../propiedades.php");

}


?>

1
  • En MySQLi los marcadores de espacio son con el símbolo de ? y no con un nombre: :algo ya que esto último es de PDO
    – user128299
    el 19 dic. 2019 a las 18:18

1 respuesta 1

1

Realiza los siguientes cambios:

  • Los marcadores de posición en mysqli se manejan por el símbolo de ? entonces tu INSERT debe verse de este modo, aclaro solo coloqué algunos a modo de ejemplo, tu debes colocar el mismo número de marcadores de posición que columnas les vayas a anexar un registro:

Consulta

$sentencia = $mysqli->prepare("INSERT INTO propiedades (titulo, descripcion, 
                                                        operacion, tipo, 
                                                        habitaciones, banos, m2, 
                                                        ubicacion, direccion, 
                                                        telefono, precio, usuario, 
                                                        inmobiliaria, moneda, 
                                                        imagen1, imagen2, imagen3, 
                                                        imagen4, imagen5, imagen6, 
                                                        imagen7, imagen8, imagen9, 
                                                        imagen10, imagen11, 
                                                        imagen12)    
    VALUES (?,?,?,?,?,?,?,?,?,?,?,?,?,?)");
  • Posterior el método que usa mysqli se llama bind_param y debe contener lo siguiente:

    • Tipo de dato de cada variable
    • Cada variable que contiene el valor a almacenar
    • Puedes pasar todos los valores en una misma línea

Mas o menos puede quedar así:

$sentencia->bind_param('ssssss', $variable1, $variable2, $variable3,.....,$variableN);

Si almacenas cadenas de texto entonces colocas s, si vas a almacenar enteros usa i y si vas a almacenar con decimales entonces d

Referencias

4
  • Ese código no va a funcionar. 1º en la consulta hay 26 columnas, y 14 marcadores ?. 2º el método bindParam no existe en mysqli, el método es bind_param. Otra cosa que el OP debe aclarar es de qué tipo son las columnas cuyo nombre comienza por imagen, pues si son de tipo BLOB esto va a complicar la cosa. Ya como comentario, es muy cuestionable tener en una tabla una serie de columnas de ese estilo (imagen1, imagen2, imagenN...), quizá el OP debería explicar un poco por qué hace eso para poder sugerirle mejoras en su modelo de datos.
    – A. Cedano
    el 19 dic. 2019 a las 19:09
  • @A.Cedano estaba precisamente tratando de indicarle que use bind_param y termine escribiendo lo que el se supone no debe usar :(
    – user128299
    el 19 dic. 2019 a las 19:10
  • Respecto a lo de los tipos de datos también tienes razón, decidí dejarlo así solo como un ejemplo y en el enlace de la doc. oficial el puede comprobar de acuerdo con lo que va a almacenar entonces que elija que va a poner
    – user128299
    el 19 dic. 2019 a las 19:11
  • @A.Cedano concuerdo totalmente contigo, sin embargo en la parte de la recomendación de sus columnas es cierto lo que dices pero si recuerdas en otra pregunta en la cual de hecho me secundaste en la opinión pero el OP decidió que tenía razones para dejarla como estaba (aunque era obvio que había algunos puntos que estaban erróneos), por eso ya no quise aportar en ese punto
    – user128299
    el 19 dic. 2019 a las 19:18

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.