La forma de resolver tu problema de forma definitiva sería implementando consultas preparadas, ya que enviar esta consulta $query = ("CALL validaingreso('$varusr','$varpwd')");
para que se ejecute directamente es un grave agujero de seguridad.
Veamos cómo implementar consultas preparadas en este caso, explicando dos posibles formas de hacerlo: usando el estilo procedural (el que implementas en tu código) y el estilo orientado a objetos (que es más moderno y más comprensible). De todos modos, ambos funcionan igual.
A. Estilo procedural
$varusr = $_POST['usr'];
$varpwd = $_POST['pwd'];
$query = ("CALL validaingreso(?,?)");
$stmt = mysqli_prepare($enlace, $query);
mysqli_stmt_bind_param($stmt, 'ss', $varusr, $varpwd);
mysqli_stmt_execute($stmt);
mysqli_stmt_store_result($stmt);
echo $row_cnt = mysqli_num_rows($stmt);
mysqli_stmt_close($stmt);
B. Estilo orientado a objetos
$varusr = $_POST['usr'];
$varpwd = $_POST['pwd'];
$query = ("CALL validaingreso(?,?)");
$stmt = $enlace->prepare($query);
$stmt->bind_param('ss', $varusr, $varpwd);
$stmt->execute();
$stmt->store_result();
echo $row_cnt = $stmt->num_rows();
$stmt->close();
Breve explicación del código
- En la instrucción SQL sustituimos las variables que antes se pasaban de manera directa por marcadores de posición
?
. Este es el primer paso para neutralizar el ataque
- Luego usamos
prepare
para decirle al manejador que nos prepare esa consulta.
- Acto seguido pasamos los valores aparte mediante
bind_param
. Este es el segundo paso para neutralizar la inyección. Las ss
que hay en el código significan que las dos columnas usadas en este caso son del tipo VARCHAR
en la base de datos. Si por ejemplo alguna de ellas fuese del tipo INT
tendríamos que poner una i
en vez de la s
. También es importante señalar que en el bind_param
las variables deben ponerse en el orden que les corresponda en $query
. Y lo mismo aplica al tipo de dato.
- Cuando tenemos todo listo, invocamos a
execute
para que termine el trabajo.
- El Manual de PHP indica que, al usar consultas preparadas, si queremos obtener el total de filas devueltas, primero debemos invocar a
store_result
.
- Finalmente, cerramos la variable
$stmt
.
;
como indica @CamiloVasquez en sus comentarios. Esto es un error tipográfico.