6

Buenos días, gracias por entrar. Sé que hay muchos post y temas de esto en toda la red, sin embargo mis pocos conocimientos de PHP me dificultan mucho este trabajo, me costó llegar a hacer que mi código funcione, y ahora que funciona quiero asegurarlo para no recibir inyecciones sql, los datos que tengo en esa BD son muy valiosos, están guardados todos los datos de usuarios de mi servidor (de un juego) y no me permito perderlos por un descuido.

Esta es mi conexion.php:

<?php
    $host_name = '***';
    $database = 'searya';
    $user_name = 'plugins';
    $password = '***';
    $connect = mysqli_connect($host_name, $user_name, $password, $database);

    if (mysqli_connect_errno()) {
        die('<p>Failed to connect to MySQL: '.mysqli_connect_error().'</p>');
    } else {
        if(isset($_GET['name'])){
            $nick=$_GET['name']; 
            $query = "SELECT * FROM referralsystem3 WHERE `name` = '$nick'";
            $resultado = mysqli_query($connect,$query);
        }else{
            echo "No se pasaron datos en el GET";}
    }
?>

Estuve tratando de aplicar la información encontrada en el siguiente post: ¿Cómo evitar la inyección SQL en PHP?

Conseguí hacer esto, sin embargo recibo algunos errores:

<?php
    $host_name = '***';
    $database = 'searya';
    $user_name = 'plugins';
    $password = '***';
    $connect = mysqli_connect($host_name, $user_name, $password, $database);

    if (mysqli_connect_errno()) {
        die('<p>Failed to connect to MySQL: '.mysqli_connect_error().'</p>');
    } else {
        if(isset($_GET['name'])){
            $nick = $_GET['name']; 
            $query = mysqli_prepare("SELECT * FROM referralsystem3 WHERE `name` = '$nick'");
            mysqli_stmt_bind_param($query, "i", $nick);
            mysqli_stmt_execute($query);
            $resultado = mysqli_query($connect,$query);
        }else{
            echo "No se pasaron datos en el GET";}
    }
?>

Los errores que recibo son estos:

( ! ) Warning: mysqli_prepare() expects exactly 2 parameters, 1 given in x:\...\conexion.php on line 13  
( ! ) Warning: mysqli_stmt_bind_param() expects parameter 1 to be mysqli_stmt, null given in x:\...\conexion.php on line 14  
( ! ) Warning: mysqli_stmt_execute() expects parameter 1 to be mysqli_stmt, null given in x:\...\conexion.php on line 15

Les agradezco mucho cualquier ayuda, me encuentro un poco perdido en estos temas, desde ya muchas gracias!

5
  • Amigo mire. es.stackoverflow.com/questions/18232/…
    – Horus
    Commented el 18 ene. 2018 a las 23:01
  • Una pregunta, ¿puedes usar el estilo orientado a objetos o estás obligado a usar el estilo procedural?. Quisiera proponerte un código, pero basado en estilo orientado a objetos.
    – A. Cedano
    Commented el 18 ene. 2018 a las 23:42
  • Estoy abierto a las formas, la verdad ni siquiera tengo noción de las diferencias entre estilo procedural o orientado a objetos, mientras logre asegurar la conexión da igual la forma. Muchas gracias! Commented el 18 ene. 2018 a las 23:44
  • 1
    Es que el estilo orientado a objetos es más moderno, y además más fácil de entender. Ahora escribo una respuesta, tratando de explicar los aspectos importantes en el código.
    – A. Cedano
    Commented el 18 ene. 2018 a las 23:46
  • Dale perfecto, gracias! Commented el 18 ene. 2018 a las 23:46

2 respuestas 2

9

Te dejo este código, el cual ya había aportado en alguna respuesta.

Tiene muchas explicaciones, porque lo hice para tratar de arrojar un poco de luz sobre el problema de las consultas preparadas en mysqli.

Para los principiantes, hay un grave escollo1 en este tipo de consultas, y es que si quieres un arreglo con todos tus datos y no tienes un driver llamado mysqlnd instalado, ese proceso se hace cuesta arriba. Por eso este código aporta una función que resuelve ese problema.

Está todo explicado en comentarios en el mismo código.

Espero te sirva.

<?php

$host_name = '***';
$database = 'searya';
$user_name = 'plugins';
$password = '***';
$port='3306'; //Podría ser otro

/*
    * Escribiremos un código controlado, que vaya evaluando las variables
    * Nunca podemos dar por hecho que las cosas funcionarán porque sí
*/  

/* OBJETO CONEXIÓN */
$connect = new mysqli($host_name, $user_name, $password, $database, $port);

/*
    *1ª evaluación: ¿Hay GET? y ¿la conexión está activa?
    *Este sería el primer paso antes de lanzar cualquier código
    *relativo a la base de datos
*/

if (isset($_GET['name'])){  

    if ($connect){
        /*Variables que usaremos*/
        $nick = $_GET['name'];
        $arrResultado=array();

        /*
            *CONSULTA PARA PREPARAR
            *En estas consultas en vez de los valores pone el signo ?
            *Habrá tantos signos ?  como valores externos se requieran
            *Aquí sólo se usa uno, pero pueden ser más
        */

        $sql = "SELECT * FROM referralsystem3 WHERE `name` = ?";

        /*
                *PREPARAR LA CONSULTA
        */
        $stmt=$connect->prepare($sql);
        /*
            *2ª evaluación: ¿La consulta se preparó bien?
            *Dado que el método prepare invocado antes devuelve FALSE
            *si hay algún error, podemos preguntar si $stmt es TRUE
            *Si no lo es, significa que hubo un error en la consulta
        */

        if ($stmt) {
            /*
                * Si la consulta se preparó bien, ahora le pasamos aparte los valores
                * Este es el núcleo de las consultas preparadas
                * Se usa aquí bind_param para pasar los valores
                * IMPORTANTE: Aquí se pasan tantos valores como signos de ? haya en la instrucción $sql
                * como la instrucción tenía un sólo ?, pasamos un solo valor
                * cuando hay más valores, estos deben pasarse en el orden en que aparecen en $sql
                * La "s"  indica el tipo de dato de esa columna en la base de datos
                * en este caso es una cadena, si fuesen numéricos,
                * se pondría una "i" en el lugar donde vaya ese campo
                * si fuese uno numérico y otro cadena entonces tendríamos "is", y así por el estilo...
            */

            $stmt->bind_param('s', $nick);
            $stmt->execute();

            /*
                * ALMACENAR LOS RESULTADOS
                * mysqli tiene un problema cuando se trata de almacenar los resultados
                * en arrays asociativos usando consultas preparadas
                * por eso es invocado aquí el método myGetResult hecho a mano
                * Existe un método que hace esto, pero
                * sólo funciona en servidores con mysqlnd instalado
                * el método myGetResult puede ser guardado en una clase utilitaria
                * y llamarlo mediante una nueva instancia de esa clase cuando lo necesitemos
                * o, si hacemos muchas operaciones de este tipo, recomiendo pasar de mysqli a PDO
            */

            $arrDatos=myGetResult($stmt);
            $arrResultado = ($arrDatos) ? $arrDatos : array("error"=>"La consulta no  arrojó  datos");

            /* Cerramos el $stmt */
            $stmt->close();

        }else{

            /*
                * Llenamos el array de control de errores con un mensaje
                * Podemos usar el método error de $mysqli para saber qué error es
            */
            $arrResultado['error']='Hubo un fallo en la consulta: '.$connect->error;
        }

        /* Cerramos la conexión */
        $connect->close();

    }else{

        /*
            * Llenamos el array de control de errores con un mensaje
            * Podemos usar el método error de $connect para saber qué error es
        */
        $arrResultado['error']='Hubo un fallo en la consulta: '.$connect->error;
    }
}else{

    $arrResultado['error']='No se enviaron criterios en el GET';

}
    /*
        *Usamos el resultado final
        *En la variable $arrResultado vas a tener el resultado de lo que haya ocurrido
        *en el flujo del código, sea los datos, sea un mensaje de error indicando
        *detalles de ese error...
        *Haremos una prueba del resultado con print_r
    */

print_r($arrResultado);

/*
    * FUNCION QUE EMULA EL FETCH_ASSOC DE PDO
    * Esta función nos permite crear un array asociativo con los resultados
    * Así accedemos fácimente a su valor por el nombre de columna en la base de datos
    * Es particularmente útil cuando en el SELECT tenemos muchas columnas
    * porque de lo contrario, tendríamos que hacer un bind de cada columna a mano
    * Esta función se puede incorporar a una clase utilitaria, para re-usarla en
    * todas las consultas que requieran este tipo de operaciones
*/

function myGetResult( $Statement ) {
    $RESULT = array();
    $Statement->store_result();
    for ( $i = 0; $i < $Statement->num_rows; $i++ ) {
        $Metadata = $Statement->result_metadata();
        $PARAMS = array();
        while ( $Field = $Metadata->fetch_field() ) {
            $PARAMS[] = &$RESULT[ $i ][ $Field->name ];
        }
        call_user_func_array( array( $Statement, 'bind_result' ), $PARAMS );
        $Statement->fetch();
    }
    return $RESULT;
}

?>

1 El problema sobre la dificultad de obtener el conjunto de resultados en un arreglo asociativo cuando se usan consultas preparadas en MySQLi fue tratado en esta pregunta: ¿Cómo obtener un arreglo asociativo usando consultas preparadas con mysqli? . La excelente respuesta de @D.Bulten condujo a una función que podemos incorporar en nuestras aplicaciones y nos permitirá solventar esa dificultad sin la preocupación de si el servidor tiene o no tiene mysqlnd instalado.

8
  • Realmente infinitas gracias! gracias por tu tiempo y por dejar los comentarios de forma de también aprender. Implemente este código y ahora no estoy seguro de cómo utilizar los resultados, anteriormente lo utilizaba haciendo un while de la siguiente forma while($fila = mysqli_fetch_array($resultado)){ y luego pegaba el dato de la fila asi <?php echo $fila['name'] ?>. Ahora intente utilizando la variable $arrResultado en vez de resultado o reemplazandola por $fila pero no funciona. De nuevo muchas gracias! Commented el 19 ene. 2018 a las 0:39
  • @GabrielBenitez, para leerlo es muy fácil. Puedes abrir un bucle y acceder por el nombre que tiene cada columna en la base de datos. Por ejemplo: foreach ($arrResultado as $v){ echo $v['name']; }. Si fuera otra, columna, por ejemplo id, lo mismo... dentro del bucle: echo $v['id'];...Y así sucesivamente.
    – A. Cedano
    Commented el 19 ene. 2018 a las 0:47
  • Ahora no tengo ningun error, pero todo lo que me muestra la ventana del navegador es Array ( ) Commented el 19 ene. 2018 a las 1:28
  • @GabrielBenitez ¿podrías mostrar lo que sale en print_r($arrResultado);?
    – A. Cedano
    Commented el 19 ene. 2018 a las 9:58
  • No estoy seguro de cómo utilizarlo o es que lo que sale no es mas que Array () Commented el 19 ene. 2018 a las 18:16
4

Todo falla con la ejecución errónea de mysqli_prepare(), porque para utilizarla tienes que ejecutarla como método de un objeto mysqli o por procedimientos, pasándole como argumentos la conexión a la base de datos y la sentencia a preparar (puedes verificar los ejemplos en la documentación de php):

//Orientado a objetos
$query = $connect->prepare("SELECT * FROM referralsystem3 WHERE `name` = '$nick'");
//Por procedimiento
$query = mysqli_prepare($connect,"SELECT * FROM referralsystem3 WHERE `name` = '$nick'");

Como podrás notar, no estás usando ninguna de las dos. Con esa corrección, lo demás debería funcionar. Te recomiendo usar el modo procedural porque es la forma que utilizas en las instrucciones posteriores y así tu código se mantenga un solo estilo.

También se sugiere que compruebes que se haya ejecutado correctamente, solo con poner en una condición if la instrucción:

if($query = $connect->prepare("SELECT * FROM referralsystem3 WHERE `name` = ?")){
    mysqli_stmt_bind_param($query, "s", $nick);
    mysqli_stmt_execute($query);
    $resultado = mysqli_stmt_get_result($query);
    while ($fila = mysqli_fetch_assoc($resultado)) {
        //Accede a las columnas del resultado de manera normal
        $fila['status'];
        $fila['email'];
        $fila['cualquier_columna_de_tu_tabla'];
    }
    mysqli_free_result($resultado);
} else {
    echo "No se puedo preparar la sentencia".
}

Finalmente, no olvides cerrar tu conexión al terminar la operación:

mysqli_stmt_close($query);
mysqli_close($connection)
5
  • Muchas gracias por tu respuesta, cambie la consulta, agregue el if y el cierre de conexión, cuando abro la página recibo el siguiente error: ( ! ) Warning: mysqli_stmt_bind_param(): Number of variables doesn't match number of parameters in prepared statement Nuevamente muchas gracias! Commented el 18 ene. 2018 a las 23:21
  • ¡Tienes razón! Ya corregí el ejemplo, la sintaxis correcta es poner un signo de cierre de interrogación en el lugar (y orden) para agregar los valores en tu consulta preparada. Además, como el nick supongo que será una cadena de texto, tienes que poner una "s" en vez de "i". Documentación de mysqli_stmt_bind_param(). Commented el 18 ene. 2018 a las 23:30
  • Gracias nuevamente por tu respuesta, hice esos cambios y recibo el siguiente error: ( ! ) Warning: mysqli_query() expects parameter 2 to be string Commented el 18 ene. 2018 a las 23:35
  • En tu ejemplo te confundiste pusiste el $query en método orientado a objetos y luego procedural, o me estoy perdiendo de algo? Commented el 18 ene. 2018 a las 23:41
  • ¿Qué tal ahora? En realidad, no hay necesidad de usar mysqli_query. Una vez utilizado mysqli_stmt_execute, puedes obtener el resultado con mysqli_stmt_get_result y usar mysqli_fetch_assoc para convertirlo en un array asociativo y acceder al resultado de la consulta. Commented el 19 ene. 2018 a las 0:00

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.