1

Se trata de un login que re-llama a sí mismo ejecutando el código que se encuentra antes del formulario. He googleado pero no encuentro ayudas similares a la mía. Osea con llamados al database del tipo de esta query:

 if (isset($_POST['submit'])) {
 $query = 'SELECT user_admin_level FROM usuarios WHERE ' 'user_usuario = "' . mysqli_real_escape_string($db, $usuario) . '" AND ' . 'user_password = PASSWORD("' . mysqli_real_escape_string($db, $password) . '")';
  $result = mysqli_query($query, $db) or die (mysqli_error($db));

14/11/2016 HE MODIFICADO A:

    $query = 'SELECT user_admin_level FROM usuarios WHERE user_usuario = . (' . mysqli_real_escape_string($db,$usuario) . ') AND ' . 'user_password =(' .  mysqli_real_escape_string($db,$password) . ')';

Recibo el siguiente error:

Warning: mysqli_error() expects exactly 1 parameter, 2 given in /login.php on line 19

Éste es el código:

   <?php 
   session_start();
   include_once('../includes/db.inc.php');
   include_once('header.php');
   ?>

   <?php 
   if ($db = @new mysqli (HOSTNAME, MYSQLUSER, MYSQLPASS, MYSQLDB)){

   // filtrare i valori in entrata
   $usuario = (isset($_POST['user_usuario'])) ? trim($_POST['user_usuario']) : '';
   $password = (isset($_POST['user_password'])) ? $_POST['user_password'] : '';
   $redirect = (isset($_REQUEST['redirect'])) ? $_REQUEST['redirect'] : 'main.php';

   if (isset($_POST['submit'])) {

    //QUERY YA MODIFICADA GRACIAS A: alvaro-montoro
   $query = 'SELECT user_admin_level FROM usuarios WHERE user_usuario = . (' . mysqli_real_escape_string($db,$usuario) . ') AND ' . 'user_password =(' .  mysqli_real_escape_string($db,$password) . ')';

   $result = mysqli_query($db,$query) or die (mysqli_error($db,$query));

   if (mysql_num_rows($result) > 0) {
   $row = mysql_fetch_assoc($result);
   $_SESSION['user_usuario'] = $usuario;
   $_SESSION['logged'] = 1;
   $_SESSION['user_admin_level'] = $row['user_admin_level'];
   header ('Refresh: 5; URL=' . $redirect);
   echo '<p>Seras re-dirigido a la pagina anterior.</p>';
   echo '<p>Si tu navegador no lo hace automaticamente, ' .
   '<a href="' . $redirect . '">clic aqui</a>.</p>';
   mysql_free_result($result);
   mysql_close($db);
   die();
   } 
   else {

   // Riasicurare queste, solo per sicurezza
   $_SESSION['user_usuario'] = '';
   $_SESSION['logged'] = 0;
   $_SESSION['user_admin_level'] = 0;
   $error = '<p><strong>Has ingresado un Usuario o Paswword no valido!</strong>'.
   ' Clic aqui para <a href="register.php"> Registrarte</a> si aun no lo has hecho.</p>';
   }
   mysqli_free_result($result);
   }
   }
   ?>
   <h1>Login</h1>
   <?php
   if (isset($error)) {
   echo $error;
   }
   ?>
   <form action="login.php" method="post">
   <div class="maintform">
   <p class="formulario"><label for="name">Usuario: </label> <input maxlength="20" type="text" name="user_usuario" id="user_usuario" value="<?php echo $usuario; ?>"  /></p>
   <p class="formulario"><label for="name">Contrase&ntilde;a:</label> <input maxlength="20" type="password" name="user_password" id="user_password" value="<?php echo $password; ?>" /></p>
   <p class="formulario">
   <input type="hidden" name="redirect" value="<?php echo $redirect ?>"/>
   <input class="ok" type="submit" name="submit" value="Login"/>
   <input class="no_ok" type="reset" name="testform" value="Restablecer" />
   </p>
   <input type="hidden" name="user_token" id="user_token" value="<?php echo $token; ?>"/>
   </div>
   </form>

   <?php
   mysqli_close($db);
   ?>

   <?php include_once('footer.php'); ?>

Según parece que el error se encuentra en las líneas 15, 16, 17, 18 y 19:

if (isset($_POST['submit'])) {
$query = 'SELECT user_admin_level FROM usuarios WHERE ' . mysqli_real_escape_string($db,$usuario) . 
'" AND ' . 'user_password = PASSWORD("' .  mysqli_real_escape_string($db,$password) . '")';

 $result = mysqli_query($db,$query) or die (mysqli_error($db,$query));

El código es readaptado a mis necesidades estos archivos. Pero he estado teniendo problemas con: mysqli_real_escape_string y mysqli_error.

2
  • 1
    Éste es (en teoría) un sitio serio y para profesionales, si quieres recibir ayuda, no lo pidas "porfa porfa", añade la información pertinente y escribe correctamente y con el formato adecuado.
    – Alvaro Montoro
    Commented el 13 nov. 2016 a las 3:50
  • Si te fijas, el título y el mensaje de error no corresponden.
    – sstan
    Commented el 13 nov. 2016 a las 3:53

1 respuesta 1

1

El error que recibes está aquí: mysqli_error($db,$query), si vas a la documentación de PHP para esa función verás que sólo necesita un parámetro que es en enlace a la base de datos, pero tú le estás pasando dos parámetros.

Esa línea debería ser algo como esto:

$result = mysqli_query($db,$query) or die (mysqli_error($db));

Aún así, te queda la duda de por qué está fallando. Eso lo puedes ver en cómo se genera la consulta en $query, que es incorrecta:

$query = 'SELECT user_admin_level FROM usuarios WHERE ' . mysqli_real_escape_string($db,$usuario) . 
'" AND ' . 'user_password = PASSWORD("' .  mysqli_real_escape_string($db,$password) . '")';

Como poco un error está en que estás cerrando unas comillas dobles que nunca se abrieron (justo después de donde se añade el usuario, al principio de la segunda línea).

Como recomendación/comentario: este tipo de errores son "comunes" en sentencias dinámicas, si usases sentencias preparadas serían más fáciles de detectar y ver (y además tus sentencias serían más seguras).

9
  • esta es la salida: You have an error in your SQL syntax; check the manual that corresponds to your MariaDB server version for the right syntax to use near '" AND user_password = PASSWORD("688200")' at line 1
    – lucho
    Commented el 13 nov. 2016 a las 4:57
  • he modificado la query a esto: ` $query = 'SELECT user_admin_level FROM usuarios WHERE (' . mysqli_real_escape_string($db,$usuario) . ') AND ' . 'user_password = PASSWORD(' . mysqli_real_escape_string($db,$password) . ')'; ` y obtengo esta salida: ` Unknown column 'jolunavi' in 'where clause' `
    – lucho
    Commented el 13 nov. 2016 a las 5:12
  • El nombre del usuario lo tienes que comparar con algo y no ponerlo simplemente en la consulta. Algo como ... WHERE user_name = "' . mysqli_real_escape_string($db,$usuario) . '" AND ... (suponiendo el campo en la tabla es user_name)
    – Alvaro Montoro
    Commented el 13 nov. 2016 a las 12:41
  • que está mal en la query? : $query = 'SELECT user_admin_level FROM usuarios WHERE user_usuario = . (' . mysqli_real_escape_string($db,$usuario) . ') AND ' . 'user_password =(' . mysqli_real_escape_string($db,$password) . ')'; me dá esta salida: You have an error in your SQL syntax; check the manual that corresponds to your MariaDB server version for the right syntax to use near '(joluna) AND user_password =(123456789)' at line 1
    – lucho
    Commented el 14 nov. 2016 a las 15:53
  • Te faltan comillas. El nombre de usuario es una cadena y debe ir entrecomillada. Ahora mismo lo tienes sin entrecomillar y entonces SQL lo interpreta como el nombre de una columna (puede ocurrirte algo parecido con la contraseña)
    – Alvaro Montoro
    Commented el 14 nov. 2016 a las 16:02

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.