4

Estoy haciendo una página de mensajes en PHP y MySQL, tengo una tabla llamada usuarios con los campos id, user, edad, pais y ciudad.

Me gustaría que el usuario pudiese buscar otros usuarios según ciertos parámetros, como por ejemplo la edad; para ello tengo el siguiente formulario:

<form action="search.php" method="post">
        <label>Search By: </label> <br>
    <input type="text" value="" name="usernam" placeholder="Username"><br>
    <input type="number" value="" name="age" placeholder="Age" min="10" max="150"><br>
    <input type="text" value="" name="country" placeholder="country"><br>
    <input type="text" value="" name="city" placeholder="city"> <br><br>
    <input id="" type="submit" value="Search" name="search"></form>

Y luego el siguiente código PHP:

if(isset($_POST['search'])) {
   $usernam = $_POST['usernam'];
   $age = $_POST['age'];
   $country = $_POST['country'];
   $city = $_POST['city'];
 }

Me falta hacer la consulta SQL para obtener los datos, pero no sé cómo podría conseguir que si el usuario no introduce todos parámetros (por ejemplo introduce solo los campos país y ciudad) que la consulta ignore los campos que están en blanco, que en este ejemplo serían usuario y edad.

¿Cómo podría realizar esta consulta?

15
  • 1
    ¿Usas PDO o mysqli? Commented el 16 ago. 2017 a las 14:24
  • @OscarGarcia te refieres por su vulnerabilidad de datos? o para responder? Commented el 16 ago. 2017 a las 14:25
  • Es para responder, no quiero programar en un tipo y luego rehacer el código de nuevo para que lo puedas usar. Commented el 16 ago. 2017 a las 14:26
  • 1
    Estoy utilizando PDO @OscarGarcia
    – kalia
    Commented el 16 ago. 2017 a las 14:27
  • 1
    Ya te he redactado la respuesta con tres ejemplos diferentes, una búsqueda fulltext, una búsqueda de texto contenido dentro de un campo y otra búsqueda comparando un valor entero. Espero que te sea de ayuda :) Todo está ejecutado como consulta preparada y es inmune a ataques de inyección SQL (el resto de ejemplos que te han puesto son vulnerables). Commented el 16 ago. 2017 a las 14:56

3 respuestas 3

9

Usando PDO podrías implementar tu búsqueda de la siguiente manera:

if(isset($_POST['search'])) {
  /* Consulta raíz */
  $sql = 'SELECT * FROM usuarios';
  /* Aquí almacenaremos los WHERE que se unirán con un "AND" */
  $where = [];
  /* Por ahora no tenemos ningún campo de búsqueda para PDO */
  $campos = [];
  /* Si queremos una búsqueda de usuario preparamos todo para hacerla */
  if (!empty($_POST['usernam'])) {
    /* Agregamos al WHERE la comparación */
    array_push($where, 'INSTR(LOWER(:usernam), LOWER(user)) > 0');
    /* Preparamos los datos para la variable preparada */
    $campos[':usernam'] = [
      'valor' => $_POST['usernam'],
      'tipo' => \PDO::PARAM_STR,
    ];
  }
  /* Hacemos lo mismo con el resto de campos del formulario */
  if (!empty($_POST['age'])) {
    array_push($where, 'edad = :age');
    $campos[':age'] = [
      'valor' => $_POST['age'],
      'tipo' => \PDO::PARAM_INT,
    ];
  }
  if (!empty($_POST['country'])) {
    array_push($where, 'MATCH (pais) AGAINST (:country IN NATURAL LANGUAGE MODE)');
    $campos[':country'] = [
      'valor' => $_POST['country'],
      'tipo' => \PDO::PARAM_STR,
    ];
  }
  if (!empty($_POST['city'])) {
    array_push($where, 'MATCH (ciudad) AGAINST (:city IN NATURAL LANGUAGE MODE)');
    $campos[':city'] = [
      'valor' => $_POST['city'],
      'tipo' => \PDO::PARAM_STR,
    ];
  }
  /* Si tenemos cláusulas WHERE las unimos */
  if (!empty($where)) {
    $sql .= ' WHERE ' . implode(' AND ', $where);
  }
  $consulta = $pdo->prepare($sql);
  /* Si no hay elementos en $campos no se ejecutará este bucle */
  foreach($campos as $clave => $valores) {
    $consulta->bindParam($clave, $valores['valor'], $valores['tipo']);
  }
  $resultado = $consulta->execute();
}

En el código hay comentarios que explican el funcionamiento paso a paso.

He usado búsquedas fulltext en algunos campos (por ponerte un ejemplo de uso), una comparación numérica y también la función INSTR junto con LOWER para que la comparación no sea sensible a mayúsculas/minúsculas.

Para hacer uso de búsquedas fulltext optimizadas hay que modificar el esquema de la tabla ejecutando:

ALTER TABLE usuarios ADD FULLTEXT (pais, ciudad)

Las búsquedas fulltext tienen muchas ventajas, como que considera "látigo" y "latigo" como palabras iguales (translitera al comparar, o mejor dicho, normaliza al indexar) y es insensible a mayúsculas/minúsculas.

2
  • 2
    +1 por escribir una respuesta basada en código seguro, contra la Inyección SQL.
    – A. Cedano
    Commented el 16 ago. 2017 a las 15:41
  • 1
    ¡Gracias! Iba a usar un user LIKE CONCAT('%', :usernam, '%'), pero al final me decanté por un INSTR/LOWER para dar variedad en la respuesta :) Commented el 16 ago. 2017 a las 15:51
2

Para estos casos tendrias que utlizar el operador SQL LIKE:

El operador LIKE se utiliza en una cláusula WHERE para buscar un patrón especificado en una columna.

Hay dos comodines utilizados junto con el operador LIKE:

% - El signo de porcentaje representa cero, uno o varios caracteres
_ - El subrayado representa un solo carácter

Entonces tu consulta seria algo asi:

"Select * from usuarios where user like '%'$usernam'%' and edad like '%'$age'%' and pais like '%'$country'%'and ciudad like '%'$city'%'"

Esto te devolvera resultados con los parametros que hayan puesto, no importa si solo an puesto un solo parametro o todos

1
  • Y dale con escribir código vulnerable. Has escrito ese tipo de consultas que le encantan a los hackers. -1 porque PDO existe, entre otras cosas, para que no escribas jamás consultas como estas.
    – A. Cedano
    Commented el 16 ago. 2017 a las 15:40
1

Una opción seria validar si las variables tienen un valor y de acuerdo a estos resultados ir armando la consulta:
Aquí un ejemplo de como podría ser:

<?php 
   //evitamos que el usuario envie espacios en blanco
    $usernam = trim($_POST['usernam']);
    $age = trim($_POST['age']);
    $country = trim($_POST['country']);
    $city = trim($_POST['city']);
    if ($usernam =="" AND $age =="" AND $country =="" AND $city =="" AND) {
        $sql="SELECT * FROM nombreTabla";
        ......//demas codigo
    }else{
        $sql='SELECT * FROM nombreTabla WHERE';
        if ($usernam != "") {
            $sql=' user = "$usernam" AND';
        }if ($age != "") {
            $sql=' edad = $age AND';
        }if ($country != "") {
            $sql=' pais = "$country" AND';
        }if ($city != "") {
            $sql=' ciudad = "$city" AND';
        }
        $sqlFinal=trim($sql, 'AND');//quitamos el ultim AND para evitar error
        .....//demas codigo
    }
 ?>

lo puedes adaptar a tu conveniencia.

Esta forma es muy practica pero puedes correr el riesgo de Sql Inyection

6
  • puedo mejorar un poco tu pregunta? Commented el 16 ago. 2017 a las 14:45
  • @JackNavaRow si no tengo ningun problema
    – Kevin
    Commented el 16 ago. 2017 a las 14:46
  • Porque quitarle tiempo al servidor con este tipo de if? si lo puedes hacer en la BD con una sola sentencia Commented el 16 ago. 2017 a las 14:49
  • Recuerden que son inpust y no siempre lo van a poner a corde a la BD es decir si se llama luis lo puede poner lui y le sale luis usando LIKE encambio le sale error si lo compara defrente Commented el 16 ago. 2017 a las 14:52
  • 1
    @IvanMoreFlores, El op no menciona esa posibilidad, ademas solo es un aporte cada quien puede ver si le es apto o no en su proyecto
    – Kevin
    Commented el 16 ago. 2017 a las 14:57

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.