1

Tengo un formulario que envia al controlador la siguiente información:

<form  method="GET" action="index.php">
    <input type="hidden" name="nombreTabla" value="Colegios">
    <input type="text" name="alumnoID">
    <input type="text" name="fechaNacimiento">
</form>

El controlador la recibe y la guarda en la BD:

$nombreTabla = $_GET['nombreTabla']; // Nombre de la tabla de la BD donde se tiene que guardar
$idAlumno = $_GET['alumniID'];
$fechaNacimiento = $_GET['fechaNacimiento'];

// Creo una consulta preparada
$stmt = mysqli->prepare(
    "INSERT INTO " . $nombreTabla . "(ALUMNO_ID,FECHA_NACIMIENTO) VALUES (?,?)"
);

$stmt->bind_param('is',$idAlumno,$fechaNacimiento);
$stmt->execute();
$stmt->close();

Mi preocupacion está en la variable $nombreTabla en la consulta preparada ya que según la documentación oficial de PHP no puedo usar un marcador de parametro para un identificador:

Los marcadores (?) son legales solo en ciertos lugares en las sentencias SQL. Por ejemplo, se les permite en la lista VALUES() de una sentencia INSERT (para especificar valores de columna para una fila), o en una comparación con una columna en una cláusula WHERE para especificar un valor de comparación.

Sin embargo, no se les permite para identificadores (como nombres de tabla o columna)...

Me gustaria que me ayudaran a analizar si dejar la consulta asi como está puede suponer una vulnerabilidad ante una inyeccion SQL.

6
  • 1
    No podemos decir que no del todo... Aquí la cuestión es que no le veo ningún sentido a tener el nombre de la tabla escondido en el HTML. Si el nombre de la tabla cambia en un futuro y lo tienes en cientos de HTML, ya te veo buscando y cambiando datos. ¿Por qué no escribes el nombre de la tabla directamente? O, mejor aún, puedes tener los nombres de tabla de tu aplicación definidos como constantes, del lado del servidor. O implementar una lista blanca de nombres de tabla...
    – A. Cedano
    Commented el 18 abr. 2018 a las 17:29
  • 1
    No hay nada de malo, siempre que el nombre de tabla sea solo un identificador logico y no físico de la tabla. Vale decir no lo agregas directamente a la consulta sino que la logica del servidor lo traduce al nombre real de la tabla
    – Klaimmore
    Commented el 18 abr. 2018 a las 17:34
  • El motivo de el nombre de la tabla en el HTML es que el controlador puede recibir diferentes formularios y cada uno guardar los datos en sus tablas correspondientes aunque la verdad es que como bien dices quiza seria mejor hacer eso en el lado del servidor. @A.Cedano
    – Serux
    Commented el 18 abr. 2018 a las 17:40
  • Siempre hay un riesgo al admitir un valor venido desde fuera. Supónte que alguien escribe lo que se debe enviar a mano, en la barra de direcciones... quizá no te inyecte código malicioso, pero puede escribir otra consulta totalmente distinta que revele datos sensibles. Admitir un valor $nombreTabla que venga de fuera es muy peligroso.
    – A. Cedano
    Commented el 18 abr. 2018 a las 17:41
  • Voy a intentar implementar eso de las constantes que me comentas en el lado del servidor y desde ahi agregar los valores de las tablas a la consulta y asi ya me olvido de preocupaciones. Gracias @A.Cedano
    – Serux
    Commented el 18 abr. 2018 a las 18:01

1 respuesta 1

0

Podrias crear un metodo de encriptacion previa al submit ejemplo:

<?php
$parameto = base64_encode('manzana');
?>

decodificando:

$parameto_recibido = base64_decode($_GET['parametro']);

ademas podrias usar pdo

$stmt = $pdo->prepare('SELECT * FROM frutas WHERE nombre = :nombre');

$stmt->execute(array('nombre' => $parameto_recibido));

foreach ($stmt as $row) {
    // hacer algo con $row
}
1
  • tu implementación de PDO esta incompleta, no indicas por ejemplo que tipo de valor va a recibir
    – user75901
    Commented el 18 abr. 2018 a las 18:52

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.