0

Estoy teniendo problemas al imprimir una función de PHP en una consulta SQL. Tengo un formulario con un campo de select multiple que pasa los datos por method $_GET. Recibo esos datos y hago una función para poder hacer un WHERE IN (1,2,3) dentro de la consulta..

La función es:

$parametros=$_GET['parametros'];

function SectMultiple($var){ 
        for ($i=0;$i<count($var);$i++){
            $dato=$var[$i].",";
            echo $dato;
            }
        }

Si hago

SectMultiple($parametros);
imprime 1,2,3,4,

La query que intento hacer es esta

$sql="SELECT * FROM table 
WHERE columna IN (".SectMultiple($parametros).")";

Los valores los imprime pero fuera de la query. Si hago

print_r($sql)

me devuelve

1,2,3,4
    SELECT * FROM table 
    WHERE columna IN ()

Espero que puedan ayudarme. Gracias

1
  • 1
    Lo que estás tratando de hacer abre una vulnerabilidad de inyección de sql. NUNCA se deben formar cadenas usando valores que puedan ser ingresados por el usuario. el 29 ago. 2019 a las 20:55

1 respuesta 1

0

Creo que estás un poco confundido, echo es para imprimir la variable, sin embargo lo que tu necesitas es un return en tu función.

function SectMultiple($var){
    $dato = '';
    for ($i=0;$i<count($var);$i++){
        $dato=$var[$i].",";
    }
    return rtrim($dato, ',');
}

Entonces al hacer esto

$sql="SELECT * FROM table 
WHERE columna IN (".SectMultiple($parametros).")";

ya lo imprimiría

PHP tiene una función llamada implode que lo que hace es lo mismo que hace tu función, por lo que podrías hacer simplemente

$sql="SELECT * FROM table 
WHERE columna IN (".implode($parametros).")";

También como te mencionaron en los comentarios, dejar que el usuario ingrese directamente la query no es buena opción, deberías echarle un vistazo a la librería de PDO de PHP

1
  • Muchas gracias por la respuesta, me has ayudado mucho.. Lo había resuelto con join(',', array_map('intval',$parametros));, pero termine haciéndolo con implode(",",$parametros); como usted menciono. Menos codigo, mismo resultado
    – nano
    el 31 ago. 2019 a las 11:17

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.