1

Estoy usando


$sql = "INSERT INTO factura (user_id, fecha) VALUES ($userid, '$date')"; 
$sql = "INSERT INTO boleto (sala, horario, asiento, user_id)" VALUES ('$sala', '$horario', '$asiento', $userid)";

 mysqli_query ($conn, $sql);                                            
 header("Location: ../index.php?signup=success");"

Y


$sql = "INSERT INTO factura (user_id, fecha) VALUES ($userid, '$date')" AND $sql = "INSERT INTO boleto (sala, horario, asiento, user_id) VALUES ('$sala', '$horario', '$asiento', $userid)";

Pero al revisar en la base de datos, solo inserta los datos en factura o el boleto =S

4
  • 1
    Tienes que ejecutarlas aparte. Una consulta: $sql = "INSERT INTO factura (user_id, fecha) VALUES ($userid, '$date')"; mysqli_query ($conn, $sql); y luego la otra: $sql = "INSERT INTO boleto (sala, horario, asiento, user_id)" VALUES ('$sala', '$horario', '$asiento', $userid)"; mysqli_query ($conn, $sql); NOTA: Tus consultas son altamente vulnerables a ataques de Inyección SQL. Deberías implementar consultas preparadas para prevenir ese riesgo de seguridad.
    – A. Cedano
    Commented el 18 jun. 2018 a las 15:58
  • It worked as you said, thank you for the information ! :)
    – Hoozuki
    Commented el 18 jun. 2018 a las 16:03
  • Me alegro. Por favor, cuando sea posible l◔_◔: ¿Qué debo hacer cuando alguien contesta mi pregunta? en el Centro de Ayuda. Thanks!
    – A. Cedano
    Commented el 18 jun. 2018 a las 16:13
  • He editado la respuesta, agregando al final la implementación de un código seguro que previene contra ataques de Inyección SQL.
    – A. Cedano
    Commented el 19 jun. 2018 a las 0:33

1 respuesta 1

3

Lo más conveniente es que las ejecutes aparte o que las identifiques de forma distinta.

En cualquier caso, al llamar a mysqli_query una sola vez, te ejecutará la consulta con el último valor en $sql.

Quizá se podría tratar también con mysqli_multi_query, aunque no tendría gran ventaja aquí.

Bastaría con hacer esto:

$insertFactura = "INSERT INTO factura (user_id, fecha) VALUES ($userid, '$date')"; 
$insertBoleto = "INSERT INTO boleto (sala, horario, asiento, user_id) VALUES ('$sala', '$horario', '$asiento', $userid)";

 mysqli_query ($conn, $insertFactura);                                            
 mysqli_query ($conn, $insertBoleto);                                            

 header("Location: ../index.php?signup=success");"

O bien:

$sql = "INSERT INTO factura (user_id, fecha) VALUES ($userid, '$date')"; 
 mysqli_query ($conn, $sql);                                            

$sql = "INSERT INTO boleto (sala, horario, asiento, user_id) VALUES ('$sala', '$horario', '$asiento', $userid)";
 mysqli_query ($conn, $sql);      

 header("Location: ../index.php?signup=success");"

En la segunda consulta había un error se sintaxis (" antes de VALUES).

NOTA: Tus consultas son altamente vulnerables a ataques de Inyección SQL. Deberías implementar consultas preparadas para prevenir ese riesgo de seguridad.

La mejor solución

Propongo aquí un código usando consultas preparadas, para neutralizar de ese modo posibles ataques de inyección SQL.

En los comentarios he explicado los elementos esenciales de esta muy recomendada práctica, que conviene implementar no sin tardanza.

/*
    *Una variable utilitaria para ir recogiendo lo ocurrido en el flujo del código
*/
$strMensaje="";


/*
    *PRIMERA CONSULTA:
    *Dos marcadores ?,? que sustituyen a los valores reales
    *neutralizando así la inyección
*/
$insertFactura = "INSERT INTO factura (user_id, fecha) VALUES (?, ?)"; 

/*
    *Preparamos la 1ª consulta dentro de un condicional
    *así controlamos cualquier fallo en el else
*/
if ($stmt = mysqli_prepare($conn, $insertFactura)) {
    /*
        *Es aquí donde se pasan los valores provenientes del exterior
        *de modo que es imposible que te cuelen código malicioso
        *porque esté método te protegerá de eso precisamente
        *Aquí lo importante a comprender es que
        * - 1. Donde está esto: "is" se deben poner 
               tantas iniciales como signos ? haya en la consulta (dos en este caso)
               Esas iniciales indican el tipo de dato de la columna respectiva
               Si es un (i)nteger, si es un (s)tring, etc.
          - 2. Se escriben luego las variables (sin comillas ni nada), en el mismo orden
               en que aparecen en la sentencia INSERT de más arriba
    */
    mysqli_stmt_bind_param($stmt, "is", $userid, $date);

    /*
        *Se ejecuta la consulta
    */
    mysqli_stmt_execute($stmt);
    $strMensaje.="La inserción en factura fue exitosa. Filas insertadas: ".mysqli_stmt_affected_rows($stmt).PHP_EOL;
}else{
    $strMensaje.="La inserción en factura fue errónea. Error: ".mysqli_stmt_error($stmt).PHP_EOL;

}

/*
    *SEGUNDA CONSULTA:
    *Es casi todo igual que en la 1ª
    *Cuatro marcadores ?,?,?,? que sustituyen a los valores reales
*/  

$insertBoleto = "INSERT INTO boleto (sala, horario, asiento, user_id) VALUES (?,?,?,?)";

if ($stmt = mysqli_prepare($conn, $insertBoleto)) {
    /*
        *Lo mismo que se explicó antes
        *Nótese que aquí tenemos "sssi", porque en $insertBoleto hay 4 columnas
        *Las tres primeras son de un tipo string (VARCHAR), por eso las sss
        *y la última es un entero, por eso la i 
    */
    mysqli_stmt_bind_param($stmt, "sssi", $sala, $horario, $asiento, $userid);
    mysqli_stmt_execute($stmt);
    $strMensaje.="La inserción en boleto fue exitosa. Filas insertadas: ".mysqli_stmt_affected_rows($stmt).PHP_EOL;
}else{
    $strMensaje.="La inserción en boleto fue errónea. Error: ".mysqli_stmt_error($stmt).PHP_EOL;

}

/*
    *Una vez terminado todo, imprimimos lo que se recogió en la variable utilitaria
    *Esto tiene la ventaja de que te informará de lo que ocurrió en ambas consultas
*/

echo $strMensaje;

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.