0

Tengo el siguiente código en php

$sql = "SELECT * FROM categorias WHERE categoria_id='{$_GET['id']}'";
$resultado = mysqli_query($con, $sql);

if (mysqli_num_rows($resultado) > 0) {
    while ($row = mysqli_fetch_assoc($resultado)) {
//...    

Que estaré haciendo mal

3 respuestas 3

2

Si pones lo sgte te funcionaria usando solo php

$sql =  "SELECT * FROM categorias WHERE categoria_id='".$_GET["id"]."'";

pero ello te traeria problemas de inyeccion de sql,lo podrias hacer de esta manera como lo dice el link http://blog.aulaformativa.com/como-evitar-una-inyeccion-sql-en-php/

2
  • Esto permite SQL injection, no debe usarse así. Deberías explicar el asunto y proveer alternativas. el 9 ago. 2016 a las 13:17
  • Discula, Si ya me di cuenta, es que pensaba que el solo lo queria hacer funcionar,yo hasta el dia de hoy lo hacia de esa manera, bueno hay que tomar en cuenta la seguridad
    – user11261
    el 9 ago. 2016 a las 13:28
2

Bueno para evitar los temas de inyección porque no haces algo como esto suponiendo que llega un numero claro esta.

$categoria_id = (int)$_GET["id"];
if($categoria_id > 0 && is_numeric($categoria_id)){
  $sql =  "SELECT * FROM categorias WHERE categoria_id=".$categoria_id; 
}

listo.

0

Hay dos cuestiones con tu código, uno de seguridad, otro de sintaxis.

Primero permites inyección de código SQL porque no estás validando ni filtrando el GET, y es lo más fácil de abusar ya que solamente tendrían que agregar ?id=''); DROP table users; --

Te recomiendo uses las funciones filter_var o mejor aún: filter_input

$filteredId = filter_input(INPUT_GET, 'id', FILTER_SANITIZE_NUMBER_INT);
// te devuelve el entero si pasa el filtro,
// o false si no lo pasó, entonces puedes
// rechazar la entrada o abortar
if(is_null($filteredId) || $filteredId === FALSE) {
   exit('Dato no valida');
}
// ahora sí, usamos el dato filtrado

Ahora con el asunto de sintaxis, para interpolar la variable es correcto si es escalar (no es un array) hacerlo así, como en tu código:

$sql = "SELECT * FROM categorias WHERE categoria_id='$filteredId'";

Pero si de verdad quieres pasar el miembro de un array, es más sencillo:

$sql = "SELECT * FROM categorias WHERE categoria_id='$array[id]'";

E insistimos: evita a toda costa aceptar variables que pueden manipular los usuarios, sin filtro ni validación.

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.