0

El problema es el siguiente: Tengo una función que recarga un <div> cada 3 segundos por medio de AJAX. Esta área es cargada con los datos provenientes de otro archivo PHP que hace la consulta a la base de datos a ver si hay cambio en los registros esto con el fin que devuelva una función JavaScript o ejecute una de las que esta en el primer archivo todo lo hace bien hasta llegar a ejecutar el script el cual se ve pero no se ejecuta este es mi AJAX.

<script>
    // CARGAR LOS DATOS DEL MONITOR
function notify(){
            var reg = new XMLHttpRequest();
            reg.onreadystatechange = function(){
                if (reg.readyState == 4 && reg.status == 200) {
                    document.getElementById('notify').innerHTML = reg.responseText;
                }
            }
            reg.open('GET', 'sql/notify.php', true);
            reg.send();
        }
    setInterval(function(){notify();}, 3000);
</script>

este es mi archivo php consultado

 <?php 
require'conexion.php';

$sqlverify="SELECT * FROM turnos WHERE estado='1' order by modificado desc limit 1";
$resultverify=mysqli_query($conexion, $sqlverify);
$ultimo="";

    # SACANDO LOS DATOS EN VARIABLES DEL PRIMER PUESTO DE LA TABLA
while ($rowsverify=mysqli_fetch_array($resultverify)) {
    $ultimo = $rowsverify['modificado'];
    $nombre = $rowsverify['nombre'];
    $apellido = $rowsverify['apellido'];
    $consulta = $rowsverify['consulta'];
}

    # SI NO SE HA CREADO LA COOKIE  LA CREAMOS
    if (!isset($_COOKIE['turno'])) {
        $_COOKIE['turno'] = "sin fecha";
    }

    # SI EL ULTIMO TURNO NO ES IGUAL AL ACTUAL
    if ($ultimo !== $_COOKIE['turno']) {
        setcookie('turno', $ultimo, time()+(60*60*24*365), "/");
        echo "<script>alert('SE CAMBIO EL TURNO');</script>";
    }else{
        echo "<script>alert('NO CAMBIO EL TURNO');</script>";
        }
 ?>

¿por qué no se ven los alerts? es que quiero saber para luego colocar otras funciones javascript

1 respuesta 1

0

Eso no funciona por motivos de seguridad. Inyectar código a través del servidor es muy vulnerable a ataques XSS.

En general no es recomendable, pero hay modos de eludir esta restricción.

Primero, desde PHP tienes que quitar el <script> de la respuesta y mandar solo el codigo de JavaScript:

echo "alert('...')";

Luego hay dos opciones (o mas, no sé): puedes ejectuar el código con eval()

eval(reg.responseText);

o puedes crear un elemento script e inyectarlo, como tenias pensado

const script = document.createElement('script');
script.innerHTML = reg.responseText;
document.getElementById('notify').appendChild(script);

Cualquiera de las dos formas, es recomendable de asegurar que el código que llega del servidor es uno que esparabas, para diminuir la posibilidad de un ataque XSS. Por ejemplo podrias comprobar con un switch que reg.responseText contiene un valor válido y solo en ese caso ejecutar el código.

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.