0

la unica duda es que al insertar omeprazole capsules 7's, al ejecutar la sentencia esta se inserta asi en la base de datos omeprazole capsules 7\'s, apareciendo un , por que pasa esto?

public static function registerproduct($type , $name, $quantity_box, $box_pallet) {

    $query = self::connect()->prepare("SELECT `name` FROM `products` WHERE `name`=:name");
    $query->execute(["name"=>$name]);
    $result = $query->rowCount();   

    if ($result == 1) {
        return 1;
    }else {
        $query = self::connect()->prepare("INSERT INTO `products` (name, quantity_box, boxes_pallet, type, register_day) VALUES (?,?,?,?,NOW())");
        return $result = $query->execute([$name, $quantity_box, $box_pallet, $type]);
    }
}

limpio las variables antes de insertarlas con:

 htmlentities(addslashes($var));

no se si eso tenga algo que ver

2 respuestas 2

2

Eso ocurre porque addslashes() :

Devuelve un string con barras invertidas delante de los caracteres que necesitan ser escapados. Estos caracteres son la comilla simple ('), comilla doble ("), barra invertida (\) y NUL (el byte NULL).

Dado que estás usando consultas preparadas, no necesitas:

  • Ni usar addslashes()
  • Ni usar htmlentities()

Las consultas preparadas de por sí te blindarán contra intentos de inyección. Si quisieras mostrar en pantalla lo que hay en $var, entonces sí podrías filtrar (para mostrar en pantalla, no para insertar), por lo ya dicho. Entonces para la inserción puedes pasar el dato sin filtrarlo.

Una nota sobre optimización y estandarización

Viendo que usas rowCount() para saber si una consulta SELECT trae filas, voy a citar una parte de la documentación al respecto:

Si la última sentencia SQL ejecutada por el objeto PDOStatement asociado fue una sentencia SELECT, algunas bases de datos podrían devolver el número de filas devuelto por dicha sentencia. Sin embargo, este comportamiento no está garantizado para todas las bases de datos y no debería confiarse en él para aplicaciones portables.

Eso significa que rowCount() no siempre es un camino seguro para saber si una consulta trae filas.

El camino más seguro es siempre usar una consulta del tipo SELECT COUNT(*) ... y, en caso de que necesites los datos de esa consulta, puedes llenar un conjunto de resultados y luego hacer una verificación sobre dicho objeto.

Para más detalles sobre esto puedes consultar la mejor guía de PDO del mundo, gracias a ella aprendí a a manejarme adecuadamente con esta API.

1

Sí, es por eso que dices, la función addslashes() te escapa ciertos caracteres, incluyendo ' con un slash \ Pero como estás usando prepared statements, y los parámetros los marcas con ? o con :nombre , no es necesario que utilices addslashes o htmlentities.

1
  • muchas gracias, uso addslashes y htmlentities para buena practica solamente xD
    – plus
    Commented el 20 jun. 2020 a las 19:02

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.