0

Yo tengo en el servidor este post donde se crea un perfil a partir de un formulario. He intentado poner ese if pero no me funciona, y aunque no se haya introducido ningún dato se me introduce en la base de datos. ¿Cómo podría solucionarlo?

app.post("/api/personal", function (req, res) {
    var sql = "INSERT INTO personal (nombre, apellidos, login, password, area)" + 
    " VALUES ('"+req.body.nombre +"','"+req.body.apellidos+"','"+req.body.login+"','"+req.body.password+"','"
    + req.body.area +"')";
    connection.query(sql, function(err, personal){
        if (req.body.nombre != "" && req.body.apellidos != "" && req.body.login != "" && req.body.password != "" && req.body.area != ""){
            return res.status(201).json(personal);
        }
        if (err){
            res.status(403).send("No se ha podido registrar ");
            return;
        }
    });
});
1
  • 1
    Antes del insert comprueva que los datos no esten vacios. el 11 mar. 2022 a las 9:19

1 respuesta 1

0

Tal como ha comentado Jordi Turell, tu if debería ir antes del insert. Es decir, antes del connection.query(). El callback de connection.query se ejecutará después de haber ejecutado la sentencia INSERT, por lo tanto ya habrás creado el registro en la base de datos.

Algo como esto debería funcionarte:

app.post("/api/personal", function (req, res) {
    if (req.body.nombre == "" || req.body.apellidos == "" || req.body.login == "" || req.body.password == "" || req.body.area == ""){
        return res.status(403).send("No se ha podido registrar");
    }

    var sql = "INSERT INTO personal (nombre, apellidos, login, password, area)" + 
    " VALUES ('"+req.body.nombre +"','"+req.body.apellidos+"','"+req.body.login+"','"+req.body.password+"','"
    + req.body.area +"')";

    connection.query(sql, function(err, personal){
        if (err){
            res.status(403).send("No se ha podido registrar ");
            return;
        }
        
        return res.status(201).json(personal);
    });
});

Otra cosa que deberías tener en cuenta es que deberías evitar usar input de un formulario directamente en tus sentencias SQL porque te arriesgas a ataques de inyección de SQL. Utiliza sentencias preparadas mejor.

1
  • Vale, gracias solucionado. No sabia lo de los ataques de inyección SQL, me enseñaron de esa manera, te agradezco el comentario.
    – Aitana
    el 11 mar. 2022 a las 10:20

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.