3

Estoy realizando un INSERT en una base de datos pero para eso primero busco mi usuario para poder insertarlo en la base de datos.

tengo el código y si me funciona, pero lo que quiero saber si es correcto lo que estoy realizando o puede tener alguna consecuencia en la seguridad del sitio.

<?PHP
$id = $_POST['id']; 
$auditado = $_POST['auditado'];
$estado = "Abierto";
//conexion con Base de datos
require 'conexion.php';
include 'header.php';

session_start();
$usuario = $_SESSION["usuario"];

$query = "SELECT user_name,Posicion FROM login WHERE user_name = '$usuario'"; 
$query = mysqli_query($conexion,$query) or die(mysqli_error());
//ahora recorremos los datos texto, id que estan vinculadas a la cuenta seleccionada
            while ($row = mysqli_fetch_array($query)){
                $Auditor = $row["user_name"];
                $Posicion = $row["Posicion"];
            }
2
  • Podrías dar un pequeño vistazo a php.net/manual/es/mysqli.quickstart.prepared-statements.php Commented el 27 feb. 2018 a las 23:05
  • @Antonio , añadí una respuesta espero que siga los pasos que detallo en la misma para que mejore la seguridad de su código y recuerde siempre seguir esa idea , utilizar sentencias preparadas. Saludos
    – Dev. Joel
    Commented el 1 mar. 2018 a las 16:41

1 respuesta 1

1

Puede que el código funcione correctamente, pero tal y como está tiene graves problemas de seguridad al concatenar directamente los valores a su query que se puede prestar para ataques muy comunes como la Inyección SQL, que se detalla en esta pregunta..

Para ayudar a mitigar un poco estos fallos, debería utilizar sentencias preparadas ya sea por las extensiones MySQLi o PDO.

Siguiendo esto , su ejemplo podría quedar de la siguiente forma, (modifiqué el estilo procedimientos por estilo orientado a objetos) , Ojo que mi respuesta asume que obtendrá un solo registro, caso contrario , será necesario un while

session_start();
$usuario = $_SESSION["usuario"];

$mysqli = new mysqli("localhost", "username", "password", "basededatos");

if ($stmt = $mysqli->prepare("SELECT user_name,Posicion FROM login WHERE user_name = ?")) {
    // bindeamos el parámetro con la variable de sessión
    $stmt->bind_param("s",$usuario);
    $stmt->execute();
    //vincular las variables del select
    $stmt->bind_result($Auditor, $Posicion);
    // obtener los valores 
    if($stmt->fetch()) {
        echo $Auditor;
        echo $Posicion;
    }
    else{
        echo "No Hay resultados";
    }
}

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.