Estoy desarrollando un sistema web en PHP,PDO,Ajax,Javascript, estoy manejando clases, pero no se si es la forma adecuada hoy en dia, estoy haciendolo de esta manera:
Primer achivo php, donde recibe el post :
include_once 'class/Estudiante.php';
// Obtenemos el objecto
$studentObj = new Estudiante();
// Metodo post
$_post = $_POST;
$json = array();
$studentInfo = array();
if(!empty($_post['action']) && $_post['action']=="inscribir") {
$studentObj->setStudentID($_post['estudiante_id']);
$studentObj->setEdad($_post['Edad']);
$studentObj->setNacimiento($_post['Fecha_Nacimiento']);
$studentObj->setPassword($_post['Codigo']);
$status = $studentObj->inscribir();
if(!empty($status)){
$json['msg'] = 'success';
} else {
$json['msg'] = 'failed';
}
header('Content-Type: application/json');
echo json_encode($json);
}
Segundo archivo donde se ecuentra la clase, los metodos set e inscribir()
try {
$cargo = "Ninguno";
$fechaActual = date('Y-m-d');
$salida = date('Y-m-d',strtotime($fecha_actual.'+ 1 year'));
$RAMA= $this->_Rama;
$integer = $this->_edad;
$edad = (int)$integer;
$sql = "INSERT INTO student(edad, password, fecha_nacimiento, fecha_creacion,fecha_salida) VALUES (:edad, :pass ,:nacimiento, :inscripcion,:salida)";
$data = [
'edad' => $edad,
'pass' => $this->_Password,
'nacimiento' => $this->_Fecha_Nac,
'inscripcion' => $fechaActual,
'salida' => $salida
];
$stmt = $this->db->prepare($sql);
$stmt->execute($data);
$status = $stmt->rowCount();
} catch (Exception $err) {
die("Error!: " . $err);
}
Utilizo ajax para procesar la informacion que retorna el php:
$("#student-frm").submit(function(e) {
e.preventDefault();
var formData = new FormData(this);
var estudiante_id = jQuery('input#estudiante_id').val();
var action = jQuery('input#action').val();
$.ajax({
type: "POST",
data: formData,
cache:false,
contentType: false,
processData: false,
url: "accion.php",
dataType: "json",
beforeSend: function () {
jQuery('button#student-btn').button('loading');
},
success: function(data) {
jQuery('button#student-btn').button('reset');
jQuery('#student-frm')[0].reset();
jQuery('#create-student').modal('hide');
if(action == 'inscribir'){
swal("Registrado!", "El registro se guardo con éxito!", "success");
} else {
swal("Actualizado!", "Los cambios han sido guardado!", "success");
}
studentRecords.ajax.reload();
},
error: function() {
swal("Error!", "Hubo un error, intente nuevamente!", "error");
}
});
});
Lo unico que quiero es evitar la inyeccion SQL, pero no se si lo estoy implementando bien, a lo que he estado leyendo este metodo es "Marcadores de posicion por nombres", espero que me puedan brindar una retroalimentación
?
se llama marcadores de posición (porque se marca una posición para cada valor con?
). Revisa la documentación está claramente explicado allí.?
son más prácticos en algunos contextos, pero son más peligrosos, no en el sentido de la inyección sino en que, si no tienes cuidado al pasar los parámetros, puedes poner valores en una posición equivocada, haciendo que los datos sean erróneos. Con los marcadores con nombre siempre sabrás a quién estás pasando cada valor, porque debes poner el nombre al lado del valor.