0

el caso es que tengo un formulario en el que al hacer click en un boton puedo poner como id_categoria 1 al correspondiente email.

if (isset($_POST['be-admin'])) {

        $user = $_POST['user'];

        $sql_admin = "UPDATE usuarios SET id_categoria = 1 where email = '".$user."'";

        mysqli_query($conexion, $sql_admin);
        mysqli_close($conexion);

        //header('Location: ../../index.php');

}

este es el codigo, el $user es el email enlazado al boton que me da el dato perfectamente, pero el fallo creo que esta en las comillas de la consulta sql, lo he intentado de mil formas pero nada, ¿alguien que me pueda ayudar? Muchas gracias de antemano y un saludo.

1 respuesta 1

1

Puedes usar las funciones mysqli_prepare(), mysqli_stmt_bind_param(), mysqli_stmt_execute() para lograr lo que te propones.

Usando estas funciones tu código quedaría parecido al siguiente:

if (isset($_POST['be-admin'])) {

    $user = $_POST['user'];

    // Aqui preparas el statement con tu consulta
    // fíjate que en tu SQL query pones una
    // interrogación en el campo que vas a enlazar
    $statement = mysqli_prepare($conexion, "UPDATE usuarios SET id_categoria=1 WHERE email=?");
    
    // Aqui enlazas tu parámetro
    // Esta función recibe tu 'statement',
    // el tipo de variable 's' (string),
    // y la variable ($user)
    mysqli_stmt_bind_param($statement, "s", $user);
    
    // Ahora ya puedes ejecutar la consulta
    mysqli_stmt_execute($statement);
    
    
    // Por último cierras la consulta
    
     mysqli_stmt_close($statement);
    
    //header('Location: ../../index.php');

}

Además, usando estas funciones, evitas un ataque muy común llamado SQL Injection, que se aprovecha de la vulnerabilidad que tienes en tu código al 'concatenar' directamente el valor de tu variable $user.

Por ejemplo alguien podría explotar esta vulnerabilidad estableciendo el valor de $user a: [email protected]' OR '1'='1

Así la consulta pasaría al servidor de la siguiente forma:

UPDATE usuarios SET id_categoria=1 WHERE email='[email protected]' OR '1'='1';

resultando afectados todos los registros de la tabla usuarios, ya que '1'='1' siempre devuelve true.

Usando las funciones que te he sugerido, eso no ocurre, ya que la función mysqli_stmt_bind_param() recibe el valor de $user y lo convierte en una cadena, quedando la consulta de la siguiente manera:

UPDATE usuarios SET id_categoria=1 WHERE email='[email protected] OR 1=1'

Aqui el UPDATE no tendrá efecto, a menos que en tu BD tengas un usuario con un email tan extraño como [email protected] OR 1=1.

Esto es un tipo de ataque SQL Injection, existen muchos más. Pero usando estas funciones, evitas este tipo.

Puedes ver la información de cada una de los métodos usados aqui:

mysqli_prepare

mysqli_stmt_bind_param

mysqli_stmt_execute

mysqli_stmt_close

Información sobre SQL Injection:

SQL Injection

1
  • 1
    Buena respuesta. Sugiero que indiques también que de ese modo el código es más seguro, neutralizando posibles ataques de inyección SQL.
    – A. Cedano
    el 12 ene. 2019 a las 12:40

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.