1

Estoy empezando a ver los prepared statement de SQL. Tengo el siguiente código para un simple login:

$stmt = $mysqli->prepare("SELECT id_admin,usuario,hash_pass FROM admins WHERE usuario = ?");
$stmt->bind_param("s", $usuario);
$stmt->execute();
$stmt->bind_result($id, $usuario, $hash_pass); 
while ($stmt->fetch())  /* obtener los valores */
{
    if(password_verify($password, $hash_pass)){ 
        $_SESSION['usuario'] = $usuario;
        $_SESSION['id'] = $id;
        header('location: admin-area.php');
        die();
    }
    else{
        $resultado =  "Datos incorrectos.";
    }
}

$stmt->free_result(); /* Libera la memoria de los resultados */
$stmt->close(); /* Cerrar la sentencia */
$mysqli->close(); /* Cerrar la conexion. */

La variable que paso en bind_param() es $usuario, tiene el mismo nombre que la variable que le paso en bind_result(). Lo probé y no hay ningún problema. Esto pueden ser iguales o podría haber algún error en sentencias mas complejas? Deberían las variables tener nombres diferentes?

1 respuesta 1

0

Pienso que no hay nada de malo, aunque sí que hay que tener cuidado, un problema podría ser, no en tu caso, es que alguna vez sobrescribas alguna variable con algún valor ya iniciado, que posterior utilizas.

Conclución:

Simplemente estas sobrescribiendo el valor de tu variable, en tu caso ($usuario).

Analizamos lógicamente:

La variable ($usuario), es el nombre de usuario que obtienes desde el formulario, su valor podría ser Foo, luego con dicha variable compruebas si existe Foo en tu Base de datos y en caso que, si existe Foo, asocias a Foo otra vez. Es decir, realmente sobrescribes Foo otra vez a Foo.

Podrías optimizar tu petición SQL de la siguiente manera y algo importante es comprobar si el usuario existe o no:

$stmt = $mysqli->prepare("SELECT id_admin,hash_pass FROM admins WHERE usuario = ?");
$stmt->bind_param("s", $usuario);
$stmt->execute();
//Transfiere un conjunto de resultados desde una sentencia preparada
$stmt->store_result();
//Comprobamos si existe usuario.
if ($stmt->num_rows===1) { //Verdadero.
   $stmt->bind_result($id,$hash_pass); 
   while ($stmt->fetch()) {
       if(password_verify($password, $hash_pass)){ 
           $_SESSION['usuario'] = $usuario; //Usuario formulario no sobrescrito.
           $_SESSION['id'] = $id;
           header('location: admin-area.php');
           die();
       } else { //Contraseña incorrecto.
           $resultado =  "Datos incorrectos.";
       }
   }
} else { //Falso, usuario no existe.
  $resultado =  "Datos incorrectos.";
}
$stmt->close();

Nota: es simplemente una opinión personal, no estoy diciendo que sea mejor o correcto. Yo personalmente me gusta trabajar con un código ordenado, entonces no me gusta mezclar por ejemplo variables que obtengo desde un formulario, con variables que extraigo desde la Base de datos. Personalmente para diferencia añado ‘BD’ al final, un ejemplo sería: bind_result($usuarioBD);

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.