4

Me surge la inquietud del como se deberían implementar ciertos procesos de un ejercicio o ejemplo CRUD en un documento de PHP, buscando las mejores prácticas en cuanto a seguridad y técnicas de desarrollo de dicho script.

De pronto pueda ser considerada como basada en opiniones mi pregunta, por lo que voy a tratar de ser lo mas específico posible:

Planteamiento

Requiero realizar multiples procesos a mi Base de Datos en MySql, en una sola petición realizada al script de PHP. Una persona está tratando de ingresar a una sección de una empresa de seguridad, por lo que cada sección o habitación de la empresa cuenta con un límite marcado por el usuario:

Tablas de la Base de Datos ficticia

|--------------------------|---------------------------|
|         persona          |          habitacion       |
|--------------------------|---------------------------|
|id_persona                |id_habitacion              |
|nombre_persona            |nombre_habitacion          |
|documento_persona         |codigo_habitacion          |
|fecha_ingreso_persona     |numero_habitacion          |
|id_tipo_documento_persona |capacidad_habitacion       |
|id_grupo_sanguineo_persona|capacidad_actual_habitacion|
|id_habitacion_persona     |id_estado_habitacion       |
|--------------------------|---------------------------|

La capacidad de la habitacion es de 10 personas, y la capacidad actual de la habitación es de 8 personas.

Procedimiento

  • Validar si hay cupo en la habitación que se desea visitar.
  • Ingresar el registro de una persona en una tabla denominada persona.
  • Actualizar el valor actual de la habitación que está visitando capacidad_actual_habitacion.

Por lo que hay tres procedimientos diferentes que deben ser realizados en un mismo script.

  1. READ(Leer)
  2. CREATE(Registrar)
  3. UPDATE(Actualizar)

Script de Ejemplo

 <?php
  //Declaracion de cabeceras del sistema
  header("Context-type: application/json;");
  //Inclusion del archivo respectivo para la conexion con la BD
  require '../Connection/connection.php';
  //Declaracion de sesiones
  session_start();
  $idEmpresa       = $_SESSION['usuario']['id_empresa'];
  //Declaracion para decodificar los datos recibidos por POST
  $_POST = json_decode(file_get_contents('php://input'), true);
  //Declaracion del array para codificar en formato JSON la variable mensaje
  $resultado = array();
  //Evaluamos si la conexion a la BD se realiza correctamente
  if ($mysqli)
  {
    if(isset($_POST) && !empty($_POST))
    {
        //Objeto convertido a formato UTF8 para insertar caracteres especiales en la BD del sistema
        $mysqli->set_charset('utf8');
        //Capturamos los valores de las variables
        $nombrePersona           = $_POST['nombre_persona'];
        $documentoPersona        = $_POST['documento_persona'];
        $idTipoDocumentoPersona  = $_POST['id_tipo_documento_persona'];
        $idGrupoSanguineoPersona = $_POST['id_grupo_sanguineo_persona'];
        $idHabitacionPersona     = $_POST['id_habitacion_persona'];

        /*
        *****************************************************************************
        *****************************************************************************
              PREPARAMOS CONSULTA PARA VERIFICAR LA CAPACIDAD DE LA HABITACION
        *****************************************************************************
        *****************************************************************************
        */

        /* Esta es la consulta SQL */
        $consulta = $mysqli->prepare("SELECT *
                                        FROM habitacion
                                       WHERE id_habitacion = ?
                                         AND capacidad_actual_habitacion < capacidad_habitacion
                                         AND id_empresa = ?");

        /* Comprobamos si la consulta se preparó correctamente */
        if ($consulta === false)
        {
           $resultado['mensaje'] = "Error al preparar la consulta.";
        }

        /*Asignamos al primer "?"*/
        $consulta->bind_param('ii', $idHabitacion, $idEmpresa);

        /* Comprobamos si la consulta se ejecutó correctamente */
        if ($consulta->execute() === false)
        {
          $resultado['mensaje'] = "Error al comprobar la ejecución de la consulta.";
        }

        /* Aquí obtenemos el registro (si lo hay) */
        if ($consulta->fetch() !== true)
        {
          $resultado['mensaje'] = "La habitación no cuenta con capacidad suficiente para realizar el registro.";
        }
        else
        {
          $consulta->next_result(); // Dump the extra resultset.
          $consulta->free_result(); // Does what it says.

          /*
          *****************************************************************************
          *****************************************************************************
                               REGISTRAMOS LA PERSONA EN EL SISTEMA
          *****************************************************************************
          *****************************************************************************
          */


          //Prepramos la consulta para INSERTAR datos en la Base de Datos a la tabla PERSONA
          $consulta_sql = "INSERT INTO `persona`(`id_persona`, `nombre_persona`, `documento_persona`,
                                                 `fecha_ingreso_persona`, `id_tipo_documento_persona`, `id_grupo_sanguineo_persona`,
                                                 `id_habitacion_persona`)
                           VALUES (NULL, ?, ?, CURDATE(), ?, ?, ?)";


          $insertar_persona = $mysqli->prepare($consulta_sql);
          //Usamos el metodo bind_param() para captar las variables en la Base de Datos
          /*
             *Las 'ssssssii' representan el tipo de dato
          */
          $insertar_persona->bind_param('ssiii', $nombrePersona,
                                                 $documentoPersona,
                                                 $idTipoDocumentoPersona,
                                                 $idGrupoSanguineoPersona,
                                                 $idHabitacionPersona);

          //Ejecutamos la consulta
          if ($insertar_persona->execute())
          {
            $insertar_persona->next_result(); // Dump the extra resultset.
            $insertar_persona->free_result(); // Does what it says.
            /*
               *Verificamos si hubo filas afectadas
               *y decidimos el estado del mensaje con un operador ternario
            */
            /*
            *****************************************************************************
            *****************************************************************************
                        ACTUALIZAMOS LA CAPACIDAD DE LA HABITACION EN EL SISTEMA
            *****************************************************************************
            *****************************************************************************
            */
            $consulta_sql = "UPDATE `habitacion`
                                SET `capacidad_actual_habitacion` = capacidad_actual_habitacion + 1
                              WHERE id_habitacion` = ?;";

            $actualizar_habitacion = $mysqli->prepare($consulta_sql);
            $actualizar_habitacion->bind_param('i', $idHabitacion);
            //Ejecutamos la consulta
            if ($actualizar_habitacion->execute())
            {
              $insertedRows = $actualizar_habitacion->affected_rows;
              $mensaje = ($insertedRows > 0) ? "Se ha registrado correctamente la persona en el sistema." : "No fue posible realizar el registro de la persona, vuelve a intentarlo más tarde. " . $actualizar_habitacion->error;
              $resultado['mensaje'] = $mensaje;
            }
            else
            {
              $resultado['mensaje'] = "Ha ocurrido un error: " . $mysqli->error;
            }

          }
          else
          {
            $resultado['mensaje'] = "Ha ocurrido un error: " . $mysqli->error;
          }
        }
    }
    else
    {
      $resultado['mensaje'] = "La petición con el respectivo método POST es inapropiado para la URL visitada.";
    }
  }
  else
  {
      $resultado['mensaje'] = "No se ha podido establecer la conexion.";
  }
  echo json_encode($resultado);
 ?>

Preguntas

  1. ¿Es la forma correcta de realizar los multiples procesos mostrados en el script?.

  2. Si un proceso falla, lo que es de esperar es que en algún momento se realicen modificaciones a la base de datos, pero no permite que sea una forma integral. Me explico: Se consulta, se registra pero no se actualiza por x o y motivo, falló el script, por lo que en su momento no registraría el aumento en la habitación. ¿Cuál sería la forma ideal para garantizar las ejecuciones y si uno falla que se deshagan los cambios?

  3. ¿Qué hay por mejorar en el script?

  4. En cuanto a seguridad, ¿qué tan vulnerable puede llegar a ser?

Mejoras

  1. Por sugerencias de A. Cedano realicé el respectivo cambio die('Error SQL: ' . $consulta->error); para ser controlado por un mensaje en JSON.
  2. Se cambia el condicional <= a < de la primer consulta dado que, al ser menor o igual habilitaría el paso de la persona, dejando la capacidad_actual_habitacion en un valor mayor a la capacidad_habitacion al momento de actualizar. Es decir, que si la visita estuviese en su capacidad máxima (12) y fuese a consultar para el acceso de otra persona, al ser 12 <= a 12 habilitaría el paso y aumentaría una persona dejando la capacidad_actual_habitacion en 13.

¡El camino de un programador, es nunca parar de aprender!

2
  • 2
    Tu pregunta me parece interesante. Lamento no disponer ahora de tiempo para una buena respuesta. La he leído por encima y tengo una crítica que hacerte. Si al principio pones esto: header("Context-type: application/json;"); debes saber que en todo tu código no puede haber ninguna salida que no sea un JSON. De modo que tienes algunos die que debes evitar. Es más, esto es opinión mía: un programador serio no debería usar die. Es una pena que inviertas tiempo en escribir un código controlado y que de repente te rindas con un simple die. Puedes cambiarlos por un mensaje en $resultado.
    – A. Cedano
    el 13 nov. 2018 a las 10:52
  • Wow, la verdad no lo había pensado de esa manera, pero tienes razón. Gracias por la sugerencia, voy a mejorar esa parte, si tienes algo más que aportar sería de gran ayuda...gracias, como siempre.
    – jecorrales
    el 13 nov. 2018 a las 13:29

1 respuesta 1

1

Punto 1. Es correcto si realiza lo que pretendes, si no hay fallos en la lógica, pero tal como comentas en el punto 2, el código actualmente tiene, al menos, una debilidad.

Punto 2. Al realizar varios procesos que son interdependientes, lo que tienes que hacer es usar transacciones, que es la forma de confirmar o cancelar varias acciones de manera conjunta y evitar corrupción de datos. El motor de base de datos se encargará de mantener la coherencia.

La ideas es:

  • Comienzas la transacción.
  • Realizas todas las operaciones necesarias.
  • Al finalizar, si se presentaron errores cancelas todo (ROLLBACK) o confirmas los cambios (COMMIT)

Más información https://dev.mysql.com/doc/refman/8.0/en/commit.html

Punto 3. Siempre se puede mejorar algo ;)

  • Tras preparar la primera consulta, compruebas si hay error y en caso afirmativo añades un mensaje pero continuas con el proceso, lo cual es innecesario porque al final deberás revertir todos los cambios por ese error, además lo más seguro es que el resto de consultas también falle.

  • Una muy simple, no uses nunca el cierre de php ?> al final de script, es innecesario y así evitas que se escapen espacios en blanco del final del fichero.

  • Otra sencilla, PHP intentará buscar variables dentro de los textos entrecomillados con comilla doble (http://php.net/manual/es/language.types.string.php#language.types.string.syntax.double), no usarla si no se va a incluir ninguna de esas características.

Punto 4. Poco que comentar, usas consultas preparadas y no generas strings de SQL insertando variables a mano, ya es bastante más de lo que se suele ver ;)

Como mucho decir que, en la medida que el framework que uses te lo permita, yo añadiría una capa de abstracción de base de datos, así minimizas las querys hechas a mano y te beneficias de las mejoras de seguridad del propio framework y sus actualizaciones.

Hace poco que comenté el tema por aquí (¿Como validar un sql_query antes de realizar la consulta? MySQL y PHP) quizá te sirva como orientación o punto de partida para conocer el tema.

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.