3

Resulta que yo hacia consultas sql con querry y ahora me entere porque me dijeron que eso es muy inseguro ante ataques de inyeccion sql por lo tanto decidi comenzar a usar mysqli y bueno hice mi primer reemplazo que fue en el login del sitio, pero aunque el codigo parece estar perfecto la pagina no funciona y me tira un error.

Codigo:

$sentencia = $con->prepare("SELECT* FROM cuenta WHERE nombre= '?' or email= '?' and pass= '?'"); 
                    $sentencia->bind_param($sentencia, "sss", $nombre_str, $email_str, $pass_str); 
                    $sentencia->execute();  

Y el error que me da es:

PHP Fatal error:  Cannot pass parameter 2 by reference in xxxx

Cualquier otro dato que necesiten no duden en pedírmelo y desde ya muchas gracias.

1
  • Dejame comentarte que si tienes mas dudas a tu pregunta original debes abrir otro post... ya que tu pregunta original no tiene que ver nada con la respuesta aceptada... Commented el 10 oct. 2016 a las 21:30

2 respuestas 2

2

Aqui te dejo un ejemplo completo a tu ultima prejunta, para obtener el id con un while:

$sentencia = $con->prepare("SELECT id FROM cuenta WHERE nombre=? or email=? and pass=? "); 
$sentencia->bind_param("sss", $nombre_str, $email_str, $pass_str); 
$sentencia->execute();
$sentencia->store_result();

if($sentencia->num_rows>0)
   $sentencia->bind_result($id);        
   while ($sentencia->fetch()) {
      //Ya podemos trabajar con $id.
      break;
   } $sentencia->close();
 } else { 
    $sentencia->close();
    echo"0 resultado";
 }
3
  • Ademas con ese codigo que me diste si coloco otra contraseña que no es la correcta tambien me deja ingresar Commented el 10 oct. 2016 a las 20:05
  • Listo ya esta todo solucionado era que en el bind result puse unas variables mas y en la consulta preparada solo tenia id Commented el 10 oct. 2016 a las 20:14
  • Me alegro que te a sido util, hay que tener mucho cuidado con los parametros, siempre deben concidir respecto a tu consulta.
    – D.Bulten
    Commented el 10 oct. 2016 a las 20:25
2

Estas mezclando los estilos de orientado a objeto y otra por procedimiento.

Cambia la linea:

$sentencia->bind_param($sentencia, "sss", $nombre_str, $email_str, $pass_str);

a

$sentencia->bind_param("sss", $nombre_str, $email_str, $pass_str);

Y no necesitas poner comillas a las variables ? en tu consulta:

$sentencia = $con->prepare("SELECT* FROM cuenta WHERE nombre=? or email=? and pass=? "); 
$sentencia->bind_param("sss", $nombre_str, $email_str, $pass_str); 
$sentencia->execute();

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.