1

sinceramente nose donde esta el error en mi Insert, es mas lo tengo idéntico a como esta en el manual de php y lo mas extraño que sucede que en dos ocasiones luego de tocar reiteradas veces el submit se guardaron.

<?php
    include("conexion.php");
    $dni = $_POST['dni'];
    $apellido = $_POST['apellido'];
    $nombre = $_POST['nombre'];
    $sexo = $_POST['sexo'];
    $nacimiento = $_POST['nacimiento'];
    $provincias = $_POST['provincias'];
    $alta = $_POST['alta'];
    if ($dni!=null & $apellido!=null & $nombre!=null & $sexo!=null  & $nacimiento!=null  & $provincias!=null  & $alta!=null){
        if($consulta = mysqli_prepare($conexion,"INSERT INTO abonados (DNI, apellido, nombre, sexo, nacimiento, provincia, alta)
        VALUES (?,?,?,?,?,?,?)"))
        {
          mysqli_stmt_bind_param($consulta,'issisis',$dni,$apellido,$nombre,$sexo,$nacimiento,$provincias,$alta);
          mysqli_stmt_execute($consulta);
        }
        else
        {
            echo "algo pasa";
          die(mysqli_error($consulta)); 

        }
    }else{
        echo "mal";
    }

?>

1
  • 1
    Revisa mi respuesta editada. Dado que, según dices, $sexo y $provincias podrian tene un valor 0, he puesto para esas variables una comparación type safe que verifique si son de tipo NULL, así, la condición se cumplirá únicamente cuando dichas variables sean nulas: if ($dni && $apellido && $nombre && $nacimiento && $alta && $sexo!==NULL && $provincias!==NULL){ //Resto del código
    – A. Cedano
    Commented el 15 dic. 2021 a las 15:13

3 respuestas 3

3

Lo que pasa es que no es mysqli_prepare, tienes que poner mysqli_stmt_prepare y te mostraré algunas recomendaciones para que tu código sea más seguro.

Ejemplo:

Esto no basta, pero igual es importante:

<?php 
$post = mysqli_real_escape_string($conexion, $_POST['post']); 

Esto ayudará a evitar inyección sql y hacer más seguro tu código php y msqli:

$filter = filter_var($post, FILTER_SANITIZE_STRING); 

Es importante la validación de los datos que van entrando como el de email y de tipo string

$validarEmail = filter_var($post, FILTER_VALIDATE_EMAIL) 

$validarString = preg_match("/^[a-zA-Z0-9]{minCaracteres, maxCaracteres}+$/", $post);

if($validarString && $validarEmail){
 //true - sí, cumple
}else{
 //false - no cumple
}

usar isset() para verificar si la variable existe o no ejemplo:

 if(isset($post)){
  //true
 }else{
  //false
 }

usar empty() para verificar si la variable es un campo vacío o que contiene algún caracter elemplo:

 if(empty($post)){
   //campo vacío
 }else{
  // el campo no está vacío
 }
 
?>

En conclusión usar solo msqli_stmt en realidad si hace más segura la conexión con sql pero de igual forma hay que evitar a toda costa la inyección sql, ya que los mal intencionados siempre intentarán una forma de hacer las suya.

7
  • al haber cambiado mysqli_prepare por mysqli_stmt_prepare, ahora me lanza este error "mysqli_stmt_prepare() expects parameter 1 to be mysqli_stmt, object given in" ... Respecto a las recomendaciones, las utilizare. @Daniel
    – Ultimatux
    Commented el 15 dic. 2021 a las 6:31
  • 1
    mysqli_real_escape_string no es necesario si se usas consultas preparadas realmente. Y no hay por qué usar isset y empty al mismo tiempo, con empty bastaría para comprobar ambas cosas, salvo un caso muy específico: cuando se trabaja con valores false o 0.
    – A. Cedano
    Commented el 15 dic. 2021 a las 6:38
  • podrías poner primero el msqli_stmt... antes del if, así : $stmt = mysqli_stmt... if( $stmt ) { //no hay error } else { //error }
    – Daniel
    Commented el 15 dic. 2021 a las 6:39
  • @A.Cedano por eso eran recomendaciones de lo que podía usar para lo que necesitara en su código, por eso hice una explicación breve para cada tipo de función, y también un tipo de ayuda que sé que le servirá en algún momento.
    – Daniel
    Commented el 15 dic. 2021 a las 6:42
  • @Daniel Nose como implementar lo que añadiste en tu segundo comentario.
    – Ultimatux
    Commented el 15 dic. 2021 a las 14:03
3

En tu código faltan algunas cosas y otras no están implementadas correctamente:

  1. Los valores no tienen por qué ser null cuando no son posteados. Usa el operador de fusión de null cuando creas las variables (a partir de PHP 7+, o un ternario en versiones anteriores).
  2. El operador de comparación AND se escribe como && o como AND, no con una sola &.
  3. Te falta verificar el estado de la conexión. Nada te asegura que siempre habrá conexión.
  4. Te falta verificar que no hubo error en la ejecución del INSERT, no sólo en la preparación. El mismo puede ser correcto desde el punto de vista sintáctico, pero levantar un error de clave duplicada u otro en la ejecución. Son dos cosas distintas y como mysqli no tiene posibilidad de try ... catch debes verificar ambas cosas por separado.

Aplicando lo dicho el código quedaría así:

<?php
  include("conexion.php");
  $dni = $_POST['dni'] ?? NULL;
  /*
      Si tu versión de PHP es inferior a 7
      Tienes que cambiar todo a este estilo:
      $dni = !empty($_POST['dni']) ? $_POST['dni'] : NULL;
  */
  $apellido = $_POST['apellido'] ?? NULL;
  $nombre = $_POST['nombre'] ?? NULL;
  $sexo = $_POST['sexo'] ?? NULL;
  $nacimiento = $_POST['nacimiento'] ?? NULL;
  $provincias = $_POST['provincias'] ?? NULL;
  $alta = $_POST['alta'] ?? NULL;
  if ($dni && $apellido && $nombre && $nacimiento  && $alta && $sexo!==NULL && $provincias!==NULL)
  {
      if ($conexion) 
      {
        $sql="INSERT INTO abonados (DNI, apellido, nombre, sexo, nacimiento, provincia, alta)
        VALUES (?,?,?,?,?,?,?)";
        if( $consulta = mysqli_prepare($conexion,$sql) ) 
        {
            mysqli_stmt_bind_param($consulta,'ississs',$dni,$apellido,$nombre,$sexo,$nacimiento,$provincias,$alta);
            if ( mysqli_stmt_execute($consulta) ) 
            {
              $msg=sprintf("Se insertaron %d filas",mysqli_affected_rows($conexion));
            } else {
              $msg=sprintf("Error ejecutando: %s",mysqli_error($conexion));
            }
        }
        else
        {
          $msg=sprintf("Error preparando la consulta: %s",mysqli_error($conexion));
        }
      }
      else
      {
        $msg="No hay conexion";
      }
    }
    else 
    {
      $msg="Hay valores nulos en el POST";
    }
    echo $msg;
?>

Post-Data

Al estar en fase de desarrollo he puesto mensajes de error internos. Eso te permitirá conocer directamente la causa del error. Considera cambiar esto por errores personalizados cuando el código pase a producción.

1

Hice algunos cambios al código, espero que te ayude a resolver tu problema.

<?php

include "conexion.php";

$dni = $_POST['dni'] ?? null;
$apellido = $_POST['apellido'] ?? null;
$nombre = $_POST['nombre'] ?? null;
$sexo = $_POST['sexo'] ?? null;
$nacimiento = $_POST['nacimiento'] ?? null;
$provincias = $_POST['provincias'] ?? null;
$alta = $_POST['alta'] ?? null;

if ($dni && $apellido && $nombre && $sexo && $nacimiento && $provincias  && $alta) 
{

  $dni = filter_var($dni, FILTER_SANITIZE_NUMBER_INT);
  $apellido = filter_var($apellido, FILTER_SANITIZE_STRING);
  $nombre = filter_var($nombre, FILTER_SANITIZE_STRING);
  $sexo = filter_var($sexo, FILTER_SANITIZE_NUMBER_INT);
  $nacimiento = filter_var($nacimiento, FILTER_SANITIZE_STRING);
  $provincias = filter_var($provincias, FILTER_SANITIZE_NUMBER_INT);
  $alta = filter_var($alta, FILTER_SANITIZE_STRING);

  $validate = preg_match("/[a-zA-Z0-9]+$/", $nombre);

if($validate){
    echo "El nombre solo puede contener letras y números";
    return;
}

$stmt = $conexion->stmt_init();
$consulta = $stmt->prepare("INSERT INTO abonados (DNI, apellido, nombre, sexo, nacimiento, provincia, alta) VALUES(?,?,?,?,?,?,?)");
  if ($consulta) {
    $consulta->bind_param('issisis', $dni, $apellido, $nombre, $sexo, $nacimiento, $provincias, $alta);
    $consulta->execute();
       if ($consulta) {
         $consulta->close();
       } else {
         print_r("Error: " . $consulta->error);
         $consulta->close();
       }
    }else {
     print_r("Error al preparar la consulta: " . $consulta->error());
   }
} else {
  echo "Los campos están vacíos";
}

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.