4

¿Cómo puedo hacer para que funcione? no lee las variables: $acc2pay['value'], $acc2pay['user_id'] y $acc2pay['ptsu_id'].

<?php
try
{

$conexion = new PDO("mysql:host=$servidor;dbname=$db", $usuario, $contrasena);

}
catch (PDOException $e)
{
    echo "There was an unexpected error. Please try again, or contact us with concerns";
}

$mid = '2597';
$acc2pay = $conexion->prepare("SELECT user_id, value, ptsu_id FROM ptsu_requests WHERE id='" . $mid . "'");
$acc2pay = $acc2pay->fetch();
$upd = $conexion->query("UPDATE ptsu_requests SET status='Completed' WHERE id=" . $mid);
$upd = $conexion->query("UPDATE members SET money=money+" . $acc2pay['value'] . " WHERE id=" . $acc2pay['user_id']);
$upd = $conexion->query("UPDATE ptsu_offers SET approved=approved+1, pending=pending-1 WHERE id=" . $acc2pay['ptsu_id']);
1
  • No puedes hacer un fetch de un prepare sin haber ejecutado la consulta con un execute. Además, no deberías concatenar cadenas de caracteres a consultas SQL, para eso están precisamente las consultas preparadas (usando prepare). Commented el 8 oct. 2018 a las 10:44

1 respuesta 1

3

El motivo por el que no obtienes la información que deseas en $acc2pay['value'], $acc2pay['user_id'] y $acc2pay['ptsu_id'] es debido a que estás tratando de hacer un PDOStatement::fetch() de una consulta preparada que no ha sido ejecutada aún con PDOStatement::execute(), sólo preparada con PDOStatement::prepare().

La solución más fácil a tu problema sería cambiar el PDO::prepare() por un PDO::query() como el resto de consultas.

No hay que olvidar usar PDO::quote() para no sufrir los graves problemas de seguridad asociados a la inyección SQL al concatenar cadenas de texto a consultas SQL:

<?php
/* Realizamos la consulta (usando PDO::quote) */
$acc2pay = $conexion->query("
  SELECT
    user_id, value, ptsu_id
  FROM ptsu_requests
  WHERE id = " . $conexion->quote($mid) . "
");
/* Comprobamos si hubo un error en la consulta */
if ($acc2pay === false) {
    /* Obtenemos los detalles del error */
    $errores = $conexion->errorInfo();
    /* Mostramos el texto del error */
    die('Error SQL: ' . htmlspecialchars($errores[2]));
}
/* Obtenemos el primer y único registro (si existe) */
$acc2pay = $acc2pay->fetch();
/* Comprobamos si existe o no algún registro con dicho "id" */
if ($acc2pay === false) {
    die('No existe ningún registro con ese "id"');
}

He controlado si $acc2pay vale false. En ese caso significaría que no había ningún registro con ese identificador.

También he comprobado si query() devuelve false. En ese otro caso significaría que hubo un error o problema con la consulta.


Además, como bien sugiere @A. Cedano, deberías usar consultas preparadas en vez de abusar del uso de PDO::quote().

Aquí tienes un ejemplo de cómo quedaría tu código usando consultas preparadas y comprobado la salida de cada consulta:

<?php
try {
    $conexion = new PDO("mysql:host=$servidor;dbname=$db", $usuario, $contrasena);
} catch (PDOException $e) {
    echo "There was an unexpected error. Please try again, or contact us with concerns";
}

$mid = '2597';
/* Realizamos la consulta (usando consultas preparadas) */
$acc2pay = $conexion->prepare("
  SELECT
    user_id, value, ptsu_id
  FROM ptsu_requests
  WHERE id = :id
");
/* Ejecutamos la consulta asignando el valor adecuado a :id y
    comprobamos si hubo un error durante la ejecución de la consulta */
if (
    $acc2pay->execute([
      ':id' => $mid,
    ]) === false
) {
    /* Obtenemos los detalles del error */
    $errores = $acc2pay->errorInfo();
    /* Mostramos el texto del error */
    die('Error SQL: ' . htmlspecialchars($errores[2]));
}
/* Obtenemos el primer y único registro (si existe) */
$acc2pay = $acc2pay->fetch();
if ($acc2pay === false) {
    die('No existe ningún registro con ese "id"');
}
$upd = $conexion->prepare("
  UPDATE ptsu_requests
  SET status = 'Completed'
  WHERE id = :id
");
if (
    $upd->execute([
      ':id' => $mid,
    ]) === false
) {
    /* Obtenemos los detalles del error */
    $errores = $acc2pay->errorInfo();
    /* Mostramos el texto del error */
    die('Error SQL: ' . htmlspecialchars($errores[2]));
}
$upd = $conexion->query("
  UPDATE members
  SET money = money + :value
  WHERE id = :id
");
if (
    /* OJO: Esta consulta requiere definir :value e :id */
    $upd->execute([
      ':value' => $acc2pay['value'],
      ':id' => $mid,
    ]) === false
) {
    /* Obtenemos los detalles del error */
    $errores = $acc2pay->errorInfo();
    /* Mostramos el texto del error */
    die('Error SQL: ' . htmlspecialchars($errores[2]));
}
$upd = $conexion->query("
  UPDATE ptsu_offers
  SET approved = approved + 1, pending = pending - 1
  WHERE id = :id
");
if (
    $upd->execute([
      ':id' => $mid,
    ]) === false
) {
    /* Obtenemos los detalles del error */
    $errores = $acc2pay->errorInfo();
    /* Mostramos el texto del error */
    die('Error SQL: ' . htmlspecialchars($errores[2]));
}

Se podrían evitar tantos bloques if/then/else con un único bloque try/catch activando la generación de excepciones en caso de error con $conexion->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION).

Por último, quizá deberías realizar las actualizaciones dentro de una transacción para que todo se realice o no en bloque. Consulta la documentación de PDO::beginTransaction() y PDO::commit() para más información.

7
  • 1
    Oscar ¿no te percataste de que está usando PDO?, no tiene nada que ver con mysqli, los métodos para PDO son diferentes. Además, ¿por qué no aprovechas para implementar consultas preparadas, quitando tanta basura del código y sobre todo aportando seguridad? De hecho, con PDO no hay que detenerse en tantas explicaciones como en mysqli para aplicar las consultas preparadas.
    – A. Cedano
    Commented el 8 oct. 2018 a las 11:33
  • ¡Gracias! Todo un despiste por mi parte xD Ahora mismo hago los cambios :D Aún así el concepto es el mismo ;) Commented el 8 oct. 2018 a las 11:33
  • Cambios realizados. Gracias de nuevo @A.Cedano :) Acabo de comprobar que es posible que mi confusión empezara por las etiquetas de la pregunta que incluían mysqli. Ya la he cambiado por pdo. Commented el 8 oct. 2018 a las 11:42
  • 1
    Oscar, cuando decía quitar tanta basura del código dándole seguridad me refería a cambiar esto: $acc2pay = $conexion->query(" SELECT user_id, value, ptsu_id FROM ptsu_requests WHERE id = " . $conexion->quote($mid) . " "); por esto: $acc2pay = $conexion->prepare(" SELECT user_id, value, ptsu_id FROM ptsu_requests WHERE id = ? "); $acc2pay->execute(array($mid)); Es tan fácil en PDO pasar de una consulta peligrosa y sucia a una limpia y segura que me parece una pena no mostrar ese camino.
    – A. Cedano
    Commented el 8 oct. 2018 a las 11:47
  • 1
    No hay problema Oscar, tus respuestas siempre brillan por su calidad y claridad. De hecho me sorprendió que se te escapase ese detalle. Hice el comentario con la intención de que la respuesta sea mejorada y puede servir mejor al OP y a futuros usuarios. Saludos y gracias por tus respuestas siempre bien elaboradas.
    – A. Cedano
    Commented el 8 oct. 2018 a las 11:56

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.