0

me gustaría entender este pequeño código. Que según veo, evita SQL-Injection

Podrían corregirme y añadir información. Perdon si comento fallos

<?php
$mysqli = new mysqli("localhost", "root", "", "bdpersona"); 

    $sql = $mysqli->prepare("insert into tbcontactos (nombre, edad, direccion, descuento, descripcion, cantidad) values (?, ?, ?, ?,? ,?) ");
    $sql->bind_param("sisisi", $nom, $edad, $dir, $des, $desc, $cant);
    $nom = $_GET['nombre'];
    $edad = $_GET['edad'];
    $dir = $_GET['direccion'];
    $des = $_GET['descuento'];
    $desc = $_GET['descripcion'];
    $cant = $_GET['cantidad'];
    $sql->execute();            
?>  

$mysqli = new mysqli("localhost", "root", "", "bdpersona");

-Me conecto a mi ordenador que es el servidor donde esta la base de datos. -el perfil de quien accede es 'root'

-No tiene contraseña el perfil para acceder

-La base de datos se llama bdpersona

$sql = $mysqli->prepare("insert into tbcontactos (nombre, edad, direccion, descuento, descripcion, cantidad) values (?, ?, ?, ?,? ,?) ");

Esta parte no la entiendo bien

-Voy a ¿preparar? para meter en los campos de nombre, edad... de la tabla tbcontactos unos valores que "són secretos" con el símbolo ?

$sql->bind_param("sisisi", $nom, $edad, $dir, $des, $desc, $cant);

Tampoco entiendo esta parte

Enlazo con los valores que recibo de un formulario y los meto por orden en la tabla anterior de prepare y además indico que s es string e i es int.

¿Podrían añadir información o corrobar que entiendo bien el código? ¿En este código donde se evita el SQL-Injection?

Muchas gracias.

1 respuesta 1

2

El método bindParam te va a solicitar ese orden es decir:

$sql->bind_param("sisisi", $nom, $edad, $dir, $des, $desc, $cant);

Por que validará que los datos ingresados se correspondan al valor que tu le estás indicando es decir podrás llegar al método execute() siempre y cuando todos los valores sean del tipo que declaraste, si no retornará FALSO; por eso es necesario indicar de modo correcto y en orden que tipo de valores son.

Lo que con bindParam() es enlazar los datos de entrada que están reconocidos por signos de interrogación con los valores que el usuario hace llegar por ejemplo por $_GET y que además indicas de que timpo son

Los signos de interrogación que mencionas son punteros de posición que una vez preparada la consulta SQL darán VERDADERO si al momento de llegar al métod bindParam se corresponden en tipo de valor es decir cadena de texto entero.

Ahora como se usa prepare se crea un objeto de dicha consulta y el gestor de bases de datos pudiera usarlo en algún momento posterior.

el uso de mysqli + prepare + darle los punteros o parametros de la consulta con el signo ? + indicarle que tipo de valor esperar de cada input suman la protección contra inyección sql

5
  • Muchísimas gracias Shadow!!! Por otro lado, en que momento este código me defiende de SQL-Injection?
    – Vidal
    el 21 mar. 2018 a las 16:35
  • precisamente cuando estas en capacidad de indicarle el tipo de dato que le va a llegar
    – user75901
    el 21 mar. 2018 a las 16:38
  • además cuando le pasas los punteros o parametros mysqli también hace esa parte de sanitizar o limpiar los valores que le están llegando
    – user75901
    el 21 mar. 2018 a las 16:40
  • Muchas gracias por la infro Shadow. Sabiendo que tipo de dato le puede llegar evitar datos que no corresponden,. El problema seria cuando datos que correspondan puedan dañar la base de datos.
    – Vidal
    el 21 mar. 2018 a las 16:59
  • sigue principalmente a los moderadores ellos tienen muchisimo conocimiento checa a los primeros es decir los de mas alto puntaje o reputación y checa todo su conocimiento seguro aprendes mas
    – user75901
    el 21 mar. 2018 a las 17:00

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.