Tengo el siguiente formulario:
<form action="" method="POST" class="formulario__register forms">
<div class="form-control">
<input type="text" placeholder="Nombre" pattern="[A-Za-z]{1,50}" maxlength="50" name="nombre" required>
</div>
<div class="form-control">
<input type="email" placeholder="Email" name="correo" maxlength="100" required>
</div>
<div class="form-control">
<input type="text" placeholder="Teléfono (opcional)" required>
</div>
<div class="select forms">
<label for="selectconsult">Motivo del contacto</label>
<select name="selectconsult" id="selectconsult" onchange="showInp(); showLog();" required>
<option value="">Seleccionar...</option>
<option value="1">Sugerencias</option>
<option value="2">Empleo</option>
<option value="3">Problemas con tu cuenta</option>
<option value="4">Problemas con usuarios</option>
</select>
<script type="text/javascript">
function showLog(){
var consult = document.getElementById('selectconsult');
var consultselected = consult.options[consult.selectedIndex].text;
document.getElementById("consultselected").value = consultselected;
console.log(consultselected);
}
</script>
<input type="hidden" id="consultselected" name="consultselected" value=" "></input>
<input id="username" type="text" name="username" placeholder="¿Cuál es tu nombre de usuario?" style="display: none"/>
<input id="pusername" type="text" name="pusername" placeholder="¿Cuál es el nombre de usuario con el cual tuviste un problema?" style="display: none"/>
<script type="text/javascript">
function showInp(){
var getSelectValue = document.getElementById("selectconsult").value;
switch (getSelectValue) {
case "1":
document.getElementById("username").style.display = "none";
document.getElementById("pusername").style.display = "none";
document.getElementById("username").removeAttribute("required", "required");
document.getElementById("pusername").removeAttribute("required", "required");
break;
case "2":
document.getElementById("username").style.display = "none";
document.getElementById("pusername").style.display = "none";
document.getElementById("username").removeAttribute("required", "required");
document.getElementById("pusername").removeAttribute("required", "required");
break;
case "3":
document.getElementById("username").style.display = "inline-block";
document.getElementById("username").setAttribute("required", "required");
document.getElementById("pusername").style.display = "none";
break;
case "4":
document.getElementById("username").style.display = "inline-block";
document.getElementById("username").setAttribute("required", "required");
document.getElementById("pusername").style.display = "inline-block";
document.getElementById("pusername").setAttribute("required", "required");
break;
}
}
</script>
</div>
<textarea name="mensaje" id="qualifycomment" onKeyu maxlength="2000" required placeholder="Tu mensaje (máximo 2000 caracteres)"></textarea>
<span class="contador" id="contador">2000</span>
<script type="text/javascript">
var limit = 2000;
$(function() {
$("#qualifycomment").on("input", function () {
var init = $(this).val().length;
total_characters = (limit - init);
$('#contador').html(total_characters);
});
});
</script>
<button class="Registrarse forms" name="sendconsult">Enviar mensaje</button>
</form>
Con el siguiente código en PHP que utilizo para almacenar la información en una BD:
<?php
function secure($value){
$value = trim($value);
$value = stripslashes($value);
$value = strip_tags($value);
return $value;
}
include_once 'admin/php/connect.php';
if(isset($_POST['sendconsult'])){
$nombre = secure($_POST['nombre']);
$correo = secure($_POST['correo']);
$telefono = empty($_POST['telefono']) ? NULL : secure($_POST['telefono']);
$motivo = $_POST['consultselected'];
$username = empty($_POST['username']) ? NULL : secure($_POST['username']);
$userproblem = empty($_POST['pusername']) ? NULL : secure($_POST['pusername']);
$mensaje = secure($_POST['mensaje']);
if($nombre != '' & $correo != '' & $motivo != '' & $mensaje != ''){
$query = "INSERT INTO contactos(fechacontacto, nombre, correo, telefono, motivo, username, userproblem, mensaje)
VALUES(now(), '$nombre', '$correo', '$telefono', '$motivo', '$username', '$userproblem', '$mensaje')";
$send = mysqli_query($connect, $query);
if($send){
echo '<script type="text/javascript">';
echo 'setTimeout(function () {';
echo 'swal("¡Mensaje enviado!","Responderemos a la brevedad a la casilla de correo indicada.","success").then( function(val) {';
echo 'if (val == true) window.location.href = \'index.php\';';
echo '});';
echo '}, 200); </script>';
}else{
echo '<script type="text/javascript">';
echo 'setTimeout(function () {';
echo 'swal("¡Ups!","Algo salió mal, por favor intentá enviar tu mensaje nuevamente.","error").then( function(val) {';
echo 'if (val == true) window.location.href = \'forms.php\';';
echo '});';
echo '}, 200); </script>';
}
}else{
echo '<script type="text/javascript">';
echo 'setTimeout(function () {';
echo 'swal("¡Ups!","Parece que hay campos vacíos en tu formulario, por favor intentá nuevamente.","warning").then( function(val) {';
echo 'if (val == true) window.location.href = \'forms.php\';';
echo '});';
echo '}, 200); </script>';
}
}
?>
Mi duda es si este método de sanitización es el adecuado y si es suficiente para evitar cualquier tipo de inyección de código malicioso a través de estos input, o si debería agregar alguna otra especificación. También me surge una duda sobre si es preciso agregar estos métodos de sanitización a otro input, el cual es de type=password o en ese caso no debería añadirlos. Desde ya muchas gracias!