Puedes usar las funciones mysqli_prepare()
, mysqli_stmt_bind_param()
, mysqli_stmt_execute()
para lograr lo que te propones.
Usando estas funciones tu código quedaría parecido al siguiente:
if (isset($_POST['be-admin'])) {
$user = $_POST['user'];
// Aqui preparas el statement con tu consulta
// fíjate que en tu SQL query pones una
// interrogación en el campo que vas a enlazar
$statement = mysqli_prepare($conexion, "UPDATE usuarios SET id_categoria=1 WHERE email=?");
// Aqui enlazas tu parámetro
// Esta función recibe tu 'statement',
// el tipo de variable 's' (string),
// y la variable ($user)
mysqli_stmt_bind_param($statement, "s", $user);
// Ahora ya puedes ejecutar la consulta
mysqli_stmt_execute($statement);
// Por último cierras la consulta
mysqli_stmt_close($statement);
//header('Location: ../../index.php');
}
Además, usando estas funciones, evitas un ataque muy común llamado SQL Injection, que se aprovecha de la vulnerabilidad que tienes en tu código al 'concatenar' directamente el valor de tu variable $user
.
Por ejemplo alguien podría explotar esta vulnerabilidad estableciendo el valor de $user
a: [email protected]' OR '1'='1
Así la consulta pasaría al servidor de la siguiente forma:
UPDATE usuarios SET id_categoria=1 WHERE email='[email protected]' OR '1'='1';
resultando afectados todos los registros de la tabla usuarios
, ya que '1'='1'
siempre devuelve true
.
Usando las funciones que te he sugerido, eso no ocurre, ya que la función mysqli_stmt_bind_param()
recibe el valor de $user
y lo convierte en una cadena, quedando la consulta de la siguiente manera:
UPDATE usuarios SET id_categoria=1 WHERE email='[email protected] OR 1=1'
Aqui el UPDATE no tendrá efecto, a menos que en tu BD tengas un usuario con un email tan extraño como [email protected] OR 1=1
.
Esto es un tipo de ataque SQL Injection, existen muchos más. Pero usando estas funciones, evitas este tipo.
Puedes ver la información de cada una de los métodos usados aqui:
mysqli_prepare
mysqli_stmt_bind_param
mysqli_stmt_execute
mysqli_stmt_close
Información sobre SQL Injection:
SQL Injection