0

tengo este codigo que va perfecto y todo, pero mi pregunta es, como haria para ?¿mostrar los datos? osea cuando hago una consulta simple solo me basta con escribir:

**while($datosx = mysqli_fetch_array($consulta)){
 echo $datosx["fila de la tabla"]; }**

pero ahora mi codigo es el siguiente:

$consulta= "SELECT publicaciones.usuario, amigos.id_1, amigos.id_2, 
             publicaciones.id
             FROM publicaciones, amigos 
             WHERE publicaciones.usuario = 
             amigos.id_1 and amigos.id_2 = '$id' ";
             $resultado_consulta = mysqli_query($conexion,$consulta);

osea relacione dos tablas para poder filtrar solo elementos que quiero, pero mi pregunta es como puedo mostrar los datos que saque??

2
  • te refieres a mostrarlos en una tabla?
    – user75901
    el 7 dic. 2018 a las 1:51
  • exactamente eso busco! el 7 dic. 2018 a las 1:56

2 respuestas 2

0

En el select has de ponerle un alias a cada campo, y lo llamas exactamente igual. Ejemplo:

$consulta= "SELECT publicaciones.usuario AS user, amigos.id_1 AS id_1, amigos.id_2 AS id_2, 
             publicaciones.id AS id
             FROM publicaciones, amigos 
             WHERE publicaciones.usuario = 
             amigos.id_1 and amigos.id_2 = '$id' ";
             $resultado_consulta = mysqli_query($conexion,$consulta);

y lo llamas con:

echo $datosx["user"]; echo $datosx["id_1"]; echo $datosx["id_2"]; echo $datosx["id"];

5
  • 1
    Recuerda que es peligroso pasar el "$id" directamente como variable. Es propenso a ataques de inyección sql.
    – Cuauhtli
    el 7 dic. 2018 a las 11:33
  • Gracias!! Me funciono perfectamente, tomaré en cuenta lo de la variable, me sacaste del apuro enserio! el 7 dic. 2018 a las 11:46
  • me alegro te haya servido :). Por otro lado, lo que dice @mrc_es es cierto, nunca es recomendable enviar IDs de las tablas, hay muchas maneras de referenciar ese registro sin mostrar el ID al usuario
    – Guillem
    el 7 dic. 2018 a las 13:02
  • No es por el id, es por la forma de sustituir la variable. Es decir, alguien del lado del cliente podría enviar un id (con curl) de la forma '; DROP DATABASES; -- y eso se ejecutaría en el servidor de la forma SELECT etc FROM etc where etc AND amigo.id_2 = ''; DROP DATABASES; -- Pueden ver más en: stackoverflow.com/questions/60174/…
    – Cuauhtli
    el 7 dic. 2018 a las 13:15
  • O puede poner el famoso ' OR 1 = 1 ; -- el en id y te devolvería todos los datos en el ESLECT sin importar las condiciones del WHERE, puesto que el OR 1=1 inyectado siempre será verdadero.
    – Cuauhtli
    el 7 dic. 2018 a las 13:19
0

Sólo como complemento a lo que respondio @guillem, mi punto principal es la seguridad de esa consulta. Creo que sería mejor arreglarla de la forma.

$consulta= '
    SELECT
        publicaciones.usuario AS user,
        amigos.id_1 AS id_1,
        amigos.id_2 AS id_2,
        publicaciones.id AS id
    FROM
        publicaciones pub
    JOIN 
        amigos am ON pub.usuario = am.id_1 
    WHERE 
        amigos.id_2 = ? '; // este signo '?' se llenará de forma segura más adelante.

$stmt = $dbConnection->prepare($consulta);
$stmt->bind_param('s', $id); // Aquí le pasas el id de forma segura con bind_param para que enlace el valor del $id de forma segura con la primer coincidencia del caracter '?'. 's' es de *string*

$stmt->execute();
$result = $stmt->get_result();

Con bind_param es una forma de asegurarte que no tratarán de hacer inyección sql en tu código.

Para ver más información sobre prevención de ataques de inyección sql.

https://stackoverflow.com/questions/60174/how-can-i-prevent-sql-injection-in-php

Para ver más sobre bind_param.

http://php.net/manual/es/mysqli-stmt.bind-param.php

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.