1

Sucede que tengo un pequeño formulario el cual permite al usuario cambiar su contraseña.El problema está que al actualizar su contraseña, se actualizan la de todos los otros usuarios, y eso es un error grave, llevo horas buscando arreglar las fallas en mi código pero no logro ver qué hice mal. Este es el código de mi formulario

<font id="inicio-de-sesion">contraseña</font>
     <form id="iniciando" action="cambiando-clave.php" method="POST">
        <table>
<tr>
    <td>
      <input id="nomusuario" type="text" name="antigcontra" placeholder="actual contraseña">
    </td>
</tr>


<tr>
    <td>
      <input id="nomcontraseña" type="password" name="nuevcontra" placeholder="Nueva contraseña">
    </td>
</tr>

<tr>
    <td>
      <input id="nombre" type="text" name="usuario" placeholder="Nombre de usuario">
    </td>
</tr>

Y aquí la página "cambiando-clave.php"

<?php

 $conexion = mysqli_connect("localhost","root","","minos");

 if (!$conexion) {
     header("Location: error.php?mensaje=No se pudo conectar a la base de datos");
 } else {
   $usuario    = utf8_encode($_POST["usuario"]);
   $antigcontra  = md5(utf8_encode($_POST["antigcontra"]));
   $nuevcontra = md5(utf8_encode($_POST["nuevcontra"]));

   $sql  = "SELECT * FROM usuarios WHERE ";
   $sql .= "usu='$usuario' AND con='$antigcontra'";

   $resultado = mysqli_query($conexion,$sql);

   if (mysqli_num_rows($resultado)==0) {

       header("location: error.php?mensaje=El usuario o la contraseña fueron incorrectos");
   } else {
         $sqldos  = "UPDATE usuarios SET ";
         $sqldos .= "con='$nuevcontra' ";
         $sql .= "WHERE usu=$usuario"; <!---Si aquí pongo $sqldos tampoco registraría--->

           mysqli_query($conexion,$sqldos);
           mysqli_close($conexion);
           header("Location: index.php");
   }
 }
 ?>

1 respuesta 1

1

El problema es que no estás añadiendo la clausula where a la sentencia, ya que tienes un error de nombrado en la variable dónde declaras ese fragmento de la sentencia SQL. Por tanto, la sentencia no contiene la clausula WHERE usu=$usuario y actualiza la contraseña para todos los registros de la tabla. Asignas a $sql en vez de a $sqldos, que es la sentencia que realmente ejecutas.

A parte de eso, salvo que la variable $usuario sea numérica (cosa que parece que no es por como se recoge del formulario post), debería ir entrecomillada tal y como haces en el resto de asignaciones de la sentencia SQL.

Cambia:

$sql .= "WHERE usu=$usuario";

por

$sqldos .= "WHERE usu='$usuario'";
6
  • No, ya probé eso y al hacerlo no registra nada. Al dejarlo como lo puse en mi pregunta, al menos registra (por más que sea de forma errónea).
    – user138470
    el 10 mar. 2020 a las 9:41
  • @Andres90tl ¿Has probado a entrecomillar '$usuario' en la clausula where además de cambiar el nombre de la variable? Como mínimo, tienes que cambiar el nombre de la variable ya que sino no se añade a la sentencia que ejecutas ($sqldos) ergo nunca va a realizar dicha clausula. el 10 mar. 2020 a las 9:49
  • No puedo creer que gasté tantas horas de mi vida pensando para un error tan tonto......muchas gracias por tu respuesta
    – user138470
    el 10 mar. 2020 a las 9:55
  • @Andres90tl Suele pasar, aunque parezca mentira son de los errores más dificiles de detectar. De nada. el 10 mar. 2020 a las 10:00
  • 1
    @Andres90tl y si usas consultas preparadas resuelves el problema de raíz, porque aunque ahora funcione este código es altamente vulnerable a ataques de Inyección SQL. Significa que un hacker puede manipular cualquiera de los datos para ocasionar estragos en tu sistema.
    – A. Cedano
    el 10 mar. 2020 a las 10:19

Tu Respuesta

Al pulsar en “Publica tu respuesta”, muestras tu consentimiento a nuestros términos de servicio, política de privacidad y política de cookies