3

Estoy realizando un INSERT en una base de datos pero para eso primero busco mi usuario para poder insertarlo en la base de datos.

tengo el código y si me funciona, pero lo que quiero saber si es correcto lo que estoy realizando o puede tener alguna consecuencia en la seguridad del sitio.

<?PHP
$id = $_POST['id']; 
$auditado = $_POST['auditado'];
$estado = "Abierto";
//conexion con Base de datos
require 'conexion.php';
include 'header.php';

session_start();
$usuario = $_SESSION["usuario"];

$query = "SELECT user_name,Posicion FROM login WHERE user_name = '$usuario'"; 
$query = mysqli_query($conexion,$query) or die(mysqli_error());
//ahora recorremos los datos texto, id que estan vinculadas a la cuenta seleccionada
            while ($row = mysqli_fetch_array($query)){
                $Auditor = $row["user_name"];
                $Posicion = $row["Posicion"];
            }
2

1 respuesta 1

1

Puede que el código funcione correctamente, pero tal y como está tiene graves problemas de seguridad al concatenar directamente los valores a su query que se puede prestar para ataques muy comunes como la Inyección SQL, que se detalla en esta pregunta..

Para ayudar a mitigar un poco estos fallos, debería utilizar sentencias preparadas ya sea por las extensiones MySQLi o PDO.

Siguiendo esto , su ejemplo podría quedar de la siguiente forma, (modifiqué el estilo procedimientos por estilo orientado a objetos) , Ojo que mi respuesta asume que obtendrá un solo registro, caso contrario , será necesario un while

session_start();
$usuario = $_SESSION["usuario"];

$mysqli = new mysqli("localhost", "username", "password", "basededatos");

if ($stmt = $mysqli->prepare("SELECT user_name,Posicion FROM login WHERE user_name = ?")) {
    // bindeamos el parámetro con la variable de sessión
    $stmt->bind_param("s",$usuario);
    $stmt->execute();
    //vincular las variables del select
    $stmt->bind_result($Auditor, $Posicion);
    // obtener los valores 
    if($stmt->fetch()) {
        echo $Auditor;
        echo $Posicion;
    }
    else{
        echo "No Hay resultados";
    }
}

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.