2

quisiera saber como poner el nombre de una tabla recibida por POST en un SELECT. Estoy probando varias alternativas y no hay manera de que haga la búsqueda:

$response=mysql_query("select id,answer from ".$_POST['bd']." where id IN($order) 
    ORDER BY FIELD(id,$order)") or die(mysql_error());
3
  • ¿Qué versión de PHP estás usando? ¿Por qué no usas mejor PDO? Tal y como lo tienes ahora mismo, tu código pide a gritos un SQL Inyection...
    – kerunaru
    Commented el 26 ene. 2017 a las 11:54
  • Perdona, no tengo mucha idea de PDO... voy a ver como lo podría solucionar.
    – Vieira
    Commented el 26 ene. 2017 a las 12:04
  • 1
    @Vieira te dejo una entrada de cómo evitar inyección sql usando librerías php (PDO o Mysqli): es.stackoverflow.com/questions/18232/…
    – David
    Commented el 26 ene. 2017 a las 12:34

1 respuesta 1

2

Lo primero como ya te han dicho deberías usar PDO. Deberías de usar consultas preparadas para que nadie pueda hacerte inyecciones sql, usando los parámetros sin filtrar que tienes como $_POST['bd'].

Aun así, yo lo primero que haría en tu caso seria cojer y mirar que valor te viene en $_POST['bd'] y hacerle un purify para quitarte etiquetas tales como y según el valor que te venga, que podría ser por ejemplo numérico adjudicarle un valor.

Ejemplo:

if (intval($_POST['bd']) === 1) {
    $from = "db.answers";
}

$query=mysql_query("
    select 
        id,answer 
    from 
        {$from} 
    where 
        id IN($order) 
    ORDER BY 
        FIELD(id,$order)")   or die(mysql_error());
1
  • Funciona @UmbrellaSpirit. Muchísimas gracias. Tendré que empollar PDO...
    – Vieira
    Commented el 26 ene. 2017 a las 12:09

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.