2

Es bueno hacer las consultas a la base de datos dentro del código de php? Por ejemplo:

    <?
$restIds=$_SESSION['restaurants'];
$restIds=substr($restIds,0,strlen($restIds)-1);

$query="SELECT cli.restaurant_id as id, CONCAT(cli.nombre,' ',cli.sucursal) as nombre FROM s3menudt.clientes cli left join options opt on (opt.restId=cli.restaurant_id) WHERE cli.restaurant_id in ($restIds) and opt.controlCatalogos=1";

$result = $mysqli->query($query);

if (mysqli_num_rows($result)!=0)
{
    ?><label>Sucursal:</label>
    <select name="idSucursal" id="idSucursal"><?
    while($row = $result->fetch_array(MYSQLI_ASSOC))
    {
        if($fst==0 and $_SESSION['idSucursal']==''){
            $_SESSION['idSucursal']=$row['id'];
        }
        echo '<option id="'.$row['id'].'" value="'.$row['id'].'"';
        if($row['id']==$_SESSION['idSucursal']) echo ' selected';
        echo '>'.$row['nombre'].'</option>';

        $fst++;
    }
    ?></select><br><?
}
else{ echo "<script>alert('No hay sucursales configuradas para edición Web.'); window.top.location='../landing/index.php'; </script>"; die(); }
?>
</div>
<?
    $col = $col + 2;
    $jsvars .= 'var idSucursal = $("#idSucursal").val();
    ';
    $params .= 'idSucursal';
    $fsucursalCat = false;
}

elseif($fcatalogos){ ?>
<!-- ++++++++++++ CATÁLOGO ++++++++++++ -->
<div class="col-md-2">
<?

¿Esto causa vulnerabilidades?

1
  • Intentaba hacer la respuesta larga para que fuera aceptada por stackoverflow es PDO el 31 dic. 2018 a las 16:13

1 respuesta 1

1

Este código qué presentas tiene una vulnerabilidad importante sobre un ataque de inyección SQL.

¿Cómo solucionarlo?

Debes utilizar declaraciones preparadas y consultas "parametrizadas". Estas son declaraciones de SQL que el servidor de la base de datos envía y analiza por separado de cualquier parámetro. De esta manera es imposible para un atacante hacer una inyección de sql.

En tu caso, utilizando MySqli el código se vería algo así:

//Creo que tu conexión es $mysqli  ????
$stmt = $dbConnection->prepare('SELECT cli.restaurant_id as id, CONCAT(cli.nombre,' ',cli.sucursal) as nombre FROM s3menudt.clientes cli left join options opt on (opt.restId=cli.restaurant_id) WHERE cli.restaurant_id in ($restIds) and opt.controlCatalogos=1');

$stmt->bind_param('s', $nombre); // 's' especifica el tipo de dato => 'string'

$stmt->execute();

$result = $stmt->get_result();
while ($row = $result->fetch_assoc()) {
    // Hacer cosas seguras :)
}

Échale un vistazo a esta pregunta en SO: https://stackoverflow.com/questions/60174/how-can-i-prevent-sql-injection-in-php

6
  • Tu respuesta aún está incompleta y sigue siendo insegura desde el momento que pasas a la variable dentro del sql, creo que se te pasó el detalle de los marcadores de posición
    – user75901
    el 28 dic. 2018 a las 22:14
  • @shadow y usando PDO para hacer consultas, es seguro?
    – user101604
    el 28 dic. 2018 a las 22:32
  • @Stn con ambas es seguro, implementado correctamente
    – user75901
    el 28 dic. 2018 a las 22:33
  • y como se implemente de la manera correcta? yo siempre hago esto: $sql = $conn->query("SELECT * FROM tabla"); $row = $sql->fetch(); o para insertar hago esto: $add = $conn->prepare("INSERT INTO tabla (valor) VALUES (:valor)"); $add->bindValue(':valor', $_POST['valor']); $add->execute();
    – user101604
    el 28 dic. 2018 a las 22:36
  • eso esta bien @Stn por que estas usando también los marcadores de nombre :nombre ahora si te vas a mysqli es con ?
    – user75901
    el 28 dic. 2018 a las 23:16

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.