1

Tengo una duda con mysqli_query(), ¿Como mando variables a mi query?

Tengo el siguiente código Pero me marca error al ejecutarlo ¿como puedo mandar los parámetros POST hacia mi query?

<?php
require ('conexionbd.php');

$varusr = $_POST['usr'];
$varpwd = $_POST['pwd'];

$query = "CALL validaingreso('$varusr','$varpwd')"

$result = mysqli_query($enlace,$query);

echo $row_cnt = mysqli_num_rows($result);

?>
5
  • 2
    Y que dice el error? te falta un ; al final de la línea de $query, si omites el ; php te saca error el 9 mar. 2018 a las 21:51
  • Parse error: syntax error, unexpected '$result' (T_VARIABLE) in C:\xampp\htdocs\HelpDeskSIGMX\ingreso.php on line 9
    – user5019
    el 9 mar. 2018 a las 21:52
  • Si ingreso sin variables y dejo las validaciones si funciona, pero quiero pasarle las variables pero no se como concatenarlas hacia mi consulta
    – user5019
    el 9 mar. 2018 a las 21:53
  • 2
    Y ya agregaste el ;? el 9 mar. 2018 a las 21:53
  • 3
    El error que recibes es porque falta el ; como indica @CamiloVasquez en sus comentarios. Esto es un error tipográfico.
    – Alvaro Montoro
    el 9 mar. 2018 a las 22:21

2 respuestas 2

4

Debes concadenar tus variables con puntos, te muestro como debería ser tu consulta:

$query = "CALL validaingreso('" . $varusr . "','" . $varpwd . "')";  
$result = mysqli_query($enlace,$query);  

Nota como se cierran las comillas cada que concadenarás una variable, con esto indicas a PHP que es texto y que es código, y con el punto indicas concadenación de textos por lo que PHP lo traduce como "a este texto agrégale el valor de esta variable"

5
  • Ya pude resolverlo, me funciono de esta manera: $varusr = $_POST['usr']; $varpwd = $_POST['pwd']; $query = ("CALL validaingreso('$varusr','$varpwd')");
    – user5019
    el 9 mar. 2018 a las 21:59
  • 4
    No obstante, este código es vulnerable a la Inyección de código malicioso. Deber implementar consultas preparadas. Para más detalles puedes consultar: ¿Cómo evitar la Inyección SQL en PHP
    – A. Cedano
    el 9 mar. 2018 a las 22:02
  • eso es muy cierto @a-cedano el 9 mar. 2018 a las 22:08
  • 2
    Esto no puede ser la solución. Como el usuario está usando comillas dobles, la versión de la pregunta y la de la respuesta son equivalentes. El problema era otro.
    – Alvaro Montoro
    el 9 mar. 2018 a las 22:19
  • 1
    Exacto @AlvaroMontoro sigo insistiendo en que el error era la falta de ; .... el 9 mar. 2018 a las 22:22
2

La forma de resolver tu problema de forma definitiva sería implementando consultas preparadas, ya que enviar esta consulta $query = ("CALL validaingreso('$varusr','$varpwd')"); para que se ejecute directamente es un grave agujero de seguridad.

Veamos cómo implementar consultas preparadas en este caso, explicando dos posibles formas de hacerlo: usando el estilo procedural (el que implementas en tu código) y el estilo orientado a objetos (que es más moderno y más comprensible). De todos modos, ambos funcionan igual.

A. Estilo procedural

$varusr = $_POST['usr']; 
$varpwd = $_POST['pwd']; 
$query = ("CALL validaingreso(?,?)");

$stmt = mysqli_prepare($enlace, $query);
mysqli_stmt_bind_param($stmt, 'ss', $varusr, $varpwd);
mysqli_stmt_execute($stmt);

mysqli_stmt_store_result($stmt);
echo $row_cnt = mysqli_num_rows($stmt);

mysqli_stmt_close($stmt);

B. Estilo orientado a objetos

$varusr = $_POST['usr']; 
$varpwd = $_POST['pwd']; 
$query = ("CALL validaingreso(?,?)");

$stmt = $enlace->prepare($query);
$stmt->bind_param('ss', $varusr, $varpwd);
$stmt->execute();

$stmt->store_result();
echo $row_cnt = $stmt->num_rows();

$stmt->close();

Breve explicación del código

  • En la instrucción SQL sustituimos las variables que antes se pasaban de manera directa por marcadores de posición ?. Este es el primer paso para neutralizar el ataque
  • Luego usamos prepare para decirle al manejador que nos prepare esa consulta.
  • Acto seguido pasamos los valores aparte mediante bind_param. Este es el segundo paso para neutralizar la inyección. Las ss que hay en el código significan que las dos columnas usadas en este caso son del tipo VARCHAR en la base de datos. Si por ejemplo alguna de ellas fuese del tipo INT tendríamos que poner una i en vez de la s. También es importante señalar que en el bind_param las variables deben ponerse en el orden que les corresponda en $query. Y lo mismo aplica al tipo de dato.
  • Cuando tenemos todo listo, invocamos a execute para que termine el trabajo.
  • El Manual de PHP indica que, al usar consultas preparadas, si queremos obtener el total de filas devueltas, primero debemos invocar a store_result.
  • Finalmente, cerramos la variable $stmt.

Tu Respuesta

Al pulsar en “Publica tu respuesta”, muestras tu consentimiento a nuestros términos de servicio, política de privacidad y política de cookies