3

Tengo un problema con los datos del perfil: la actualización de un perfil la hago sin problema, pero cuando un usuario va a su perfil, le está pintando todos los datos de la BBDD de todos los usuarios y eso es un fallo de seguridad enorme. Os dejo el código:

HE CAMBIADO UN POCO EL CÓDIGO POR TEMAS DE SEGURIDAD

<?php
  include_once '../pruebas/conexion.php';

  if (!isset ($_SESSION['usuario'])){
    header('Location: ../login.php');
  };


  /* FUNCION GENÉRICA VALIDACIÓN USUARIO */

  $id = $_POST['id'];
  function verificarUsuario($id) {
    $sql_leer = 'SELECT usuario FROM usuarios WHERE id = '.$id.' AND usuario = '.$_SESSION['usuario'].' ';

    $gsnet = $pdo->prepare($sql_leer);
    $gsnet->execute($id);

    if ($gsnet->fetchColumn() > 0) return true;
    return false;
  };

  /* Se cargan los datos del usuario para mostrar en el FORM */

  $sql_leer = 'SELECT id,equipo,email,pass,thumb FROM usuarios WHERE usuario = '.$_SESSION['usuario'].'';

  $gsnet = $pdo->prepare($sql_leer);
  $gsnet->execute();

  $resultado = $gsnet->fetchAll();

?>

HTML

<form method="POST" action="editar_usuario.php" enctype="multipart/form-data">
    <input type="text" class="form-control" placeholder="Equipo" name="equipo" value="<?php echo $resultado['equipo']?>">
    <input type="text" class="form-control" placeholder="Email" name="email" value="<?php echo $resultado['email']?>">
    <input type="text" class="form-control" placeholder="Contraseña" name="pass" value="<?php echo $resultado ['pass']?>">
    <input type="file" class="form-control" placeholder="Imagen" name="thumb" value="<?php echo $resultado ['thumb']?>">
    <input type="hidden" name="id" value="<?php echo $resultado['id']?>" >
    <button class="btn btn-primary mt-3">Editar</button>
</form>
3
  • Tu problema esta aqui <?php foreach ($resultado as $dato): ?>. Estas recorriendo todos los usuarios
    – JDev
    Commented el 12 jul. 2018 a las 13:59
  • podrias revisar esto $sql_leer = 'SELECT * FROM usuarios WHERE id'; Commented el 12 jul. 2018 a las 15:14
  • no especificas el id Commented el 12 jul. 2018 a las 15:14

2 respuestas 2

3

Estas usando el resultado de la obtencion de todos los usuario $resultado en vez de los valores del usuario unico $resultado_unico. Cuando sea para que el usuario vea/modifiquye sus datos simplemente elimina el foreach que estas usando para recorrer todos los usuarios y usa los datos del usuario en cuestion:

Primero saca del if $resultado_unico

$resultado_unico;
if($_GET){
    $id = $_GET['id'];
    $sql_unico = 'SELECT * FROM usuarios WHERE id=?';

    $gsnet_unico = $pdo->prepare($sql_unico);
    $gsnet_unico->execute(array($id));

    $resultado_unico = $gsnet_unico->fetch();
}
?>

Luego tendras que comprobar que hay datos y en ese caso generas el formulario así

<form method="GET" action="editar_usuario.php" enctype="multipart/form-data">
    <input type="text" class="form-control" placeholder="Equipo" name="equipo" value="<?php echo $resultado_unico['equipo']?>">
    <input type="text" class="form-control" placeholder="Email" name="email" value="<?php echo $resultado_unico['email']?>">
    <input type="text" class="form-control" placeholder="Contraseña" name="pass" value="<?php echo $resultado_unico['pass']?>">
    <input type="file" class="form-control" placeholder="Imagen" name="thumb" value="<?php echo $resultado_unico['thumb']?>">
    <input type="hidden" name="id" value="<?php echo $resultado_unico['id']?>" >
    <button class="btn btn-primary mt-3">Editar</button>
</form>
12
  • Buenas JDev, he hecho lo que me has dicho, pero me sale este fallo. b>Notice</b>: Undefined variable: resultado_unico in <b>D:\xampp\htdocs\Proyectos\ProyectoDriversParadeClub\DriversParadeClub\view\perfil.view.php</b> on line <b>132</b Creo que es, por que resultado único no es una variable global si no dentro de un condicional, No?
    – user93754
    Commented el 13 jul. 2018 a las 9:40
  • Si, se me paso, $resultado_unico tienes que declararla fuera del if($_GET){. Te lo edito y lo incluyo.
    – JDev
    Commented el 13 jul. 2018 a las 9:43
  • Ya está editado ;)
    – JDev
    Commented el 13 jul. 2018 a las 9:46
  • El if(!GET) del formulario lo quito?, por que si no lo quito me sigue dando el mismo problema.. Si quito la interrogación del GET no me aparece nada...
    – user93754
    Commented el 13 jul. 2018 a las 9:49
  • Si, ese cuando es un usuario unico no debe usarse.
    – JDev
    Commented el 13 jul. 2018 a las 10:01
-5

Una forma simple para mostrar los datos de perfil y editarlos a su vez es enviar el id de usuario a traves de una variable de inicio de sesión y en archivo muestras el perfil y pudieras enviar el update en otro archivo a través del metodo POST. Te dejo este código para que tomes lo que te sea util:

<?php
session_start();
include ('conexion2.php');


$query = pg_query($cnx2, "SELECT nombre_usuario, apellido_usuario, correo FROM datos_usuarios WHERE id_usuario='$id_usuario'");
$row = pg_fetch_assoc($query);

?>
<!DOCTYPE html>
<head>
</head>
<html>
<body>
<div class="container" id="felo">
    <form class="" action="updateperfil.php" method="POST">
        <h2>Actualiza tu perfil</h2>
        <div class="form-group">
            <label for="user">Usuario:</label>
            <input type="text" class="form-control" name="user" id="user" value="<?php echo $varsess?>" disabled>
        </div>
        <div class="form-group">
            <label for="pwd">Nombre:</label>
            <input type="text" class="form-control" name="nombre" value="<?php echo $nombre?>">
        </div>
        <div class="form-group">
            <label for="rpw">Apellido:</label>
            <input type="text" class="form-control" name="apellido" value="<?php echo $apellido?>">
        </div>
        <div class="form-group">
            <label for="rpw">Correo Electrónico:</label>
            <input type="email" class="form-control" name="correo" value="<?php echo $correo?>">
        </div>
        <div class="form-group">
            <button align="center" class="btn btn-success" class="form-control" type="submit">Actualizar</button>
            <a href="inicio.php" class="btn btn-danger">Cancelar</a>
        </div>

    </form>
</div>
</body>
</html>

5
  • 4
    Esto no responde al problema del usuario. El ya esta haciendo eso pero ha metido otro error que hace que no le funcione.
    – JDev
    Commented el 12 jul. 2018 a las 14:13
  • Mi comentario es claro y conciso y no vengo a darte respuestas a ti, sino a quien pregunta. Commented el 12 jul. 2018 a las 14:21
  • 4
    No, no lo es, de hecho solo sirve para enredar mas al usuario. El tiene un problema en su codigo y tu le plantas un codigo que no parte del suyo (ni siquiera tiene los mismos datos), que no funciona y que usa tecnologias que el usuario no ha indicado. Y la explicación ni concuerda con el código ni es clara ni nada. Y luego encima vas con la rabieta de niño votando negativo porque te han dicho que tu respuesta no vale porque no soluciona su error. En fin ...
    – JDev
    Commented el 12 jul. 2018 a las 15:01
  • Te repito, mis respuestas no van a ti, y no voy a caer en lo que estas haciendo, desviar un tema y afectar la pregunta del usuario, en una discusión sin sentido, doy por terminadas mis respuestas hacia ti. Commented el 12 jul. 2018 a las 16:05
  • 4
    No van a mi ni a el porque no es una respuesta, simplemente es soltar un codigo que NO FUNCIONA, cuya explicación que NO CONCUERDA y que NO RESUELVE el problema del usuario.
    – JDev
    Commented el 13 jul. 2018 a las 6:04

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.