1

Este sería mi mayor problema de toda la tarea que he venido haciendo en actualizar mi código en sentencias preparadas en procedimientos en orientados a objetos MySQLi.

Debido que al usar sentencias preparadas las consultas y esos procedimientos son muy distintos a lo normal.

Por ejemplo al querer pasar un mysqli_real_escape_string a un UPDATE

$query = " UPDATE tbl_employee   
               SET name='$name',   
               address='$address',   
               gender='$gender',   
               designation = '$designation',   
               age = '$age'   
               WHERE id='".$_POST["employee_id"]."'";  
               $message = 'Data Updated';

El reemplazo de esto if(mysqli_query($con, $query)) al procedimiento de sentencias.

A pesar de estar recién actualizandome en estos procedimientos no he tenido mayor problemas quizás sea porque son consultas pequeñas sin tantos derivados de la misma.

Como actualizo este código de forma correcta, explicándome un poco sus cambios y procedimientos aplicados.

if(!empty($_POST))  
 {  
      $output = '';  
      $message = '';  
      $name = mysqli_real_escape_string($con, $_POST["name"]);  
      $address = mysqli_real_escape_string($con, $_POST["address"]);  
      $gender = mysqli_real_escape_string($con, $_POST["gender"]);  
      $designation = mysqli_real_escape_string($con, $_POST["designation"]);  
      $age = mysqli_real_escape_string($con, $_POST["age"]);  
      if($_POST["employee_id"] != '')  
      {  
           $query = "  
           UPDATE tbl_employee   
           SET name='$name',   
           address='$address',   
           gender='$gender',   
           designation = '$designation',   
           age = '$age'   
           WHERE id='".$_POST["employee_id"]."'";  
           $message = 'Data Updated';  
      }  
      else  
      {  
           $query = "  
           INSERT INTO tbl_employee(name, address, gender, designation, age)  
           VALUES('$name', '$address', '$gender', '$designation', '$age');  
           ";  
           $message = 'Data Inserted';  
      }  
      if(mysqli_query($con, $query))  
      {  
           $output .= '<label class="text-success">' . $message . '</label>';  
           $select_query = "SELECT * FROM tbl_employee ORDER BY id DESC";  
           $result = mysqli_query($con, $select_query);  
           $output .= '  
                <table class="table table-bordered">  
                     <tr>  
                          <th width="70%">Employee Name</th>  
                          <th width="15%">Edit</th>  
                          <th width="15%">View</th>  
                     </tr>  
           ';  
           while($row = mysqli_fetch_array($result))  
           {  
                $output .= '  
                     <tr>  
                          <td>' . $row["name"] . '</td>  
                          <td><input type="button" name="edit" value="Edit" id="'.$row["id"] .'" class="btn btn-info btn-xs edit_data" /></td>  
                          <td><input type="button" name="view" value="view" id="' . $row["id"] . '" class="btn btn-info btn-xs view_data" /></td>  
                     </tr>  
                ';  
           }  
           $output .= '</table>';  
      }  
      echo $output;  
 }  
 ?>

1 respuesta 1

2

En primer Lugar debe indicar la conexión de tipo orientado a objetos (Podría ser de tipo procedimiento) pero no es bueno mezclar los tipos.

$con= new mysqli("localhost", "my_user", "my_password", "midatabase");

En segundo lugar , debería emplear sentencias preparadas y evitar la concatenación de valores en sus querys ya que es un gran problema en cuanto a seguridad se refiere . Luego de esto no tendría por qué emplear mysqli_real_escape_string() ya que no sería necesario.

La query del update sería :

$query = "UPDATE tbl_employee SET name=?, address=?, gender= ?,
         designation = ?, age = ?  WHERE id= ? " ;

Para el Insert

$query = "INSERT INTO tbl_employee(name, address, gender, designation, age)  
           VALUES(?, ?, ?, ?, ?); "; 

Para luego dependiendo de la query que desea ejecutar, emplea el bindeo de los valores que llegan por POST , para la sintaxis revisar la documentación de bind_param(), esto después de preparar la sentencia, se coloca en un if porque a veces el prepare de la sentencia retorna false por algún error en la consulta.

if ($stmt = $con->prepare($query)) {
   $stmt->bind_param("sss", $one,$two,$three);
   $stmt->execute();
}

El reemplazo de if(mysqli_query($con, $query)) sería dependiendo de lo que quiere realizar, si fuese un insert simplemente podría validar el retorno de execute()

if($stmt->execute()){
    echo "Insert Exitoso";
}

Pero si es un Update , no podría con lo anterior ya que no siempre se validaría correctamente , para esto podría obtener el número de filas afectadas affected_rows

$stmt->execute();
if($con->affected_rows > 0){
   echo "Update Exitoso";
}

Para el ultimo select , podría hacerlo directamente

$query = "SELECT * FROM tbl_employee ORDER BY id DESC"
$result = $con->query($query);

while ($row = $result->fetch_assoc() ) {... }

Posible código Final

if(!empty($_POST))  
 {  
      $output = '';  
      $message = '';  
      $name = $_POST["name"];  
      $address =  $_POST["address"];  
      $gender = $_POST["gender"];  
      $designation = $_POST["designation"];  
      $age = $_POST["age"];  
      // Variable para saber que tipo de consulta se realizará
      $tipo = 0;
      // Variable para validar la correcta ejecución de la query, Insert o Update
      $estado = 0;  
      $id= $_POST["employee_id"];
      if($id != '')   
      {  
        $query = "UPDATE tbl_employee SET name=?, address=?, gender= ?,designation = ?, age = ?  WHERE id= ? " ; 
        $tipo = 1; // seteamos para update
      }  
      else  
      {  
        $query = "INSERT INTO tbl_employee(name, address, gender, designation, age)  
           VALUES(?, ?, ?, ?, ?); ";   
        $tipo =2; //seteamos el tipo para insert
      }  
      // Sí será update 
      if($tipo === 1){
        if ($stmt = $con->prepare($query)) {
           $stmt->bind_param("sssssi", $name,$address,$gender,$designation,$age,$id);
           //Asignamos el valor de la ejecución del update
           $estado = $stmt->execute();
        }
      }
      //Sí sera Insert
      else if($tipo === 2){
        if ($stmt = $con->prepare($query)) {
           $stmt->bind_param("sssss", $name,$address,$gender,$designation,$age);
           $stmt->execute();
           //Asignamos el valor de la ejecución del insert , 
           //si el número afectado de filas es mayor a 0
           $estado = ($con->affected_rows>0);
        }
      }

      // Para saber si se ejecutó correctamete update o insert 
      if($estado){
        $query = "SELECT * FROM tbl_employee ORDER BY id DESC";
        $result = $con->query($query);
        while ($row = $result->fetch_assoc() ) {
            $output .= '  
               <tr>  
                  <td>' . $row["name"] . '</td>  
                  <td><input type="button" name="edit" value="Edit" id="'.$row["id"] .'" class="btn btn-info btn-xs edit_data" /></td>  
                  <td><input type="button" name="view" value="view" id="' . $row["id"] . '" class="btn btn-info btn-xs view_data" /></td>  
             </tr>  
                    '; 
        }
        echo $output;  
      }



 } 
0

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.