Me surge la inquietud del como se deberían implementar ciertos procesos de un ejercicio o ejemplo CRUD en un documento de PHP, buscando las mejores prácticas en cuanto a seguridad y técnicas de desarrollo de dicho script.
De pronto pueda ser considerada como basada en opiniones mi pregunta, por lo que voy a tratar de ser lo mas específico posible:
Planteamiento
Requiero realizar multiples procesos a mi Base de Datos en MySql, en una sola petición realizada al script de PHP. Una persona está tratando de ingresar a una sección de una empresa de seguridad, por lo que cada sección o habitación de la empresa cuenta con un límite marcado por el usuario:
Tablas de la Base de Datos ficticia
|--------------------------|---------------------------|
| persona | habitacion |
|--------------------------|---------------------------|
|id_persona |id_habitacion |
|nombre_persona |nombre_habitacion |
|documento_persona |codigo_habitacion |
|fecha_ingreso_persona |numero_habitacion |
|id_tipo_documento_persona |capacidad_habitacion |
|id_grupo_sanguineo_persona|capacidad_actual_habitacion|
|id_habitacion_persona |id_estado_habitacion |
|--------------------------|---------------------------|
La capacidad de la habitacion es de 10 personas, y la capacidad actual de la habitación es de 8 personas.
Procedimiento
- Validar si hay cupo en la habitación que se desea visitar.
- Ingresar el registro de una persona en una tabla denominada
persona
. - Actualizar el valor actual de la habitación que está visitando
capacidad_actual_habitacion
.
Por lo que hay tres procedimientos diferentes que deben ser realizados en un mismo script.
- READ(Leer)
- CREATE(Registrar)
- UPDATE(Actualizar)
Script de Ejemplo
<?php
//Declaracion de cabeceras del sistema
header("Context-type: application/json;");
//Inclusion del archivo respectivo para la conexion con la BD
require '../Connection/connection.php';
//Declaracion de sesiones
session_start();
$idEmpresa = $_SESSION['usuario']['id_empresa'];
//Declaracion para decodificar los datos recibidos por POST
$_POST = json_decode(file_get_contents('php://input'), true);
//Declaracion del array para codificar en formato JSON la variable mensaje
$resultado = array();
//Evaluamos si la conexion a la BD se realiza correctamente
if ($mysqli)
{
if(isset($_POST) && !empty($_POST))
{
//Objeto convertido a formato UTF8 para insertar caracteres especiales en la BD del sistema
$mysqli->set_charset('utf8');
//Capturamos los valores de las variables
$nombrePersona = $_POST['nombre_persona'];
$documentoPersona = $_POST['documento_persona'];
$idTipoDocumentoPersona = $_POST['id_tipo_documento_persona'];
$idGrupoSanguineoPersona = $_POST['id_grupo_sanguineo_persona'];
$idHabitacionPersona = $_POST['id_habitacion_persona'];
/*
*****************************************************************************
*****************************************************************************
PREPARAMOS CONSULTA PARA VERIFICAR LA CAPACIDAD DE LA HABITACION
*****************************************************************************
*****************************************************************************
*/
/* Esta es la consulta SQL */
$consulta = $mysqli->prepare("SELECT *
FROM habitacion
WHERE id_habitacion = ?
AND capacidad_actual_habitacion < capacidad_habitacion
AND id_empresa = ?");
/* Comprobamos si la consulta se preparó correctamente */
if ($consulta === false)
{
$resultado['mensaje'] = "Error al preparar la consulta.";
}
/*Asignamos al primer "?"*/
$consulta->bind_param('ii', $idHabitacion, $idEmpresa);
/* Comprobamos si la consulta se ejecutó correctamente */
if ($consulta->execute() === false)
{
$resultado['mensaje'] = "Error al comprobar la ejecución de la consulta.";
}
/* Aquí obtenemos el registro (si lo hay) */
if ($consulta->fetch() !== true)
{
$resultado['mensaje'] = "La habitación no cuenta con capacidad suficiente para realizar el registro.";
}
else
{
$consulta->next_result(); // Dump the extra resultset.
$consulta->free_result(); // Does what it says.
/*
*****************************************************************************
*****************************************************************************
REGISTRAMOS LA PERSONA EN EL SISTEMA
*****************************************************************************
*****************************************************************************
*/
//Prepramos la consulta para INSERTAR datos en la Base de Datos a la tabla PERSONA
$consulta_sql = "INSERT INTO `persona`(`id_persona`, `nombre_persona`, `documento_persona`,
`fecha_ingreso_persona`, `id_tipo_documento_persona`, `id_grupo_sanguineo_persona`,
`id_habitacion_persona`)
VALUES (NULL, ?, ?, CURDATE(), ?, ?, ?)";
$insertar_persona = $mysqli->prepare($consulta_sql);
//Usamos el metodo bind_param() para captar las variables en la Base de Datos
/*
*Las 'ssssssii' representan el tipo de dato
*/
$insertar_persona->bind_param('ssiii', $nombrePersona,
$documentoPersona,
$idTipoDocumentoPersona,
$idGrupoSanguineoPersona,
$idHabitacionPersona);
//Ejecutamos la consulta
if ($insertar_persona->execute())
{
$insertar_persona->next_result(); // Dump the extra resultset.
$insertar_persona->free_result(); // Does what it says.
/*
*Verificamos si hubo filas afectadas
*y decidimos el estado del mensaje con un operador ternario
*/
/*
*****************************************************************************
*****************************************************************************
ACTUALIZAMOS LA CAPACIDAD DE LA HABITACION EN EL SISTEMA
*****************************************************************************
*****************************************************************************
*/
$consulta_sql = "UPDATE `habitacion`
SET `capacidad_actual_habitacion` = capacidad_actual_habitacion + 1
WHERE id_habitacion` = ?;";
$actualizar_habitacion = $mysqli->prepare($consulta_sql);
$actualizar_habitacion->bind_param('i', $idHabitacion);
//Ejecutamos la consulta
if ($actualizar_habitacion->execute())
{
$insertedRows = $actualizar_habitacion->affected_rows;
$mensaje = ($insertedRows > 0) ? "Se ha registrado correctamente la persona en el sistema." : "No fue posible realizar el registro de la persona, vuelve a intentarlo más tarde. " . $actualizar_habitacion->error;
$resultado['mensaje'] = $mensaje;
}
else
{
$resultado['mensaje'] = "Ha ocurrido un error: " . $mysqli->error;
}
}
else
{
$resultado['mensaje'] = "Ha ocurrido un error: " . $mysqli->error;
}
}
}
else
{
$resultado['mensaje'] = "La petición con el respectivo método POST es inapropiado para la URL visitada.";
}
}
else
{
$resultado['mensaje'] = "No se ha podido establecer la conexion.";
}
echo json_encode($resultado);
?>
Preguntas
¿Es la forma correcta de realizar los multiples procesos mostrados en el script?.
Si un proceso falla, lo que es de esperar es que en algún momento se realicen modificaciones a la base de datos, pero no permite que sea una forma integral. Me explico: Se consulta, se registra pero no se actualiza por
x
oy
motivo, falló el script, por lo que en su momento no registraría el aumento en la habitación. ¿Cuál sería la forma ideal para garantizar las ejecuciones y si uno falla que se deshagan los cambios?¿Qué hay por mejorar en el script?
En cuanto a seguridad, ¿qué tan vulnerable puede llegar a ser?
Mejoras
- Por sugerencias de A. Cedano realicé el respectivo cambio
die('Error SQL: ' . $consulta->error);
para ser controlado por un mensaje enJSON
. - Se cambia el condicional
<=
a<
de la primer consulta dado que, al ser menor o igual habilitaría el paso de la persona, dejando lacapacidad_actual_habitacion
en un valor mayor a lacapacidad_habitacion
al momento de actualizar. Es decir, que si la visita estuviese en su capacidad máxima (12) y fuese a consultar para el acceso de otra persona, al ser12 <= a 12
habilitaría el paso y aumentaría una persona dejando lacapacidad_actual_habitacion
en 13.
¡El camino de un programador, es nunca parar de aprender!
header("Context-type: application/json;");
debes saber que en todo tu código no puede haber ninguna salida que no sea un JSON. De modo que tienes algunosdie
que debes evitar. Es más, esto es opinión mía: un programador serio no debería usardie
. Es una pena que inviertas tiempo en escribir un código controlado y que de repente te rindas con un simpledie
. Puedes cambiarlos por un mensaje en$resultado
.