1

Compañeros, tengo un script que desarrolle sin embargo al ser muy nuevo en este mundo el script funciona y hace su trabajo, pero me gustaria agregarle algo de serguridad.

Anteriormente usaba Mysqli

Se que existe la inyección de SQL y me gustaría evitarlo, actualmente manejo la petición a la base de datos de esta forma:

He realizado esto pero no me devuelve nada

/Connect to DB 
$db_charset = 'utf8';
$dsn = "mysql:host=$db_host;dbname=$db_name;charset=$db_charset";
$opt = [
    PDO::ATTR_ERRMODE            => PDO::ERRMODE_EXCEPTION,
    PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC,
    PDO::ATTR_EMULATE_PREPARES   => false,
];
$pdo = new PDO($dsn, $db_user, $db_pass, $opt);



//In case of error coection show details of error
if ($pdo == null) {
    die("ERROR: Could not connect. " . mysqli_connect_error());
}

//Query to obtain the data of the order
$sql = "SELECT * FROM orders WHERE order_id = '$order_id'";
$stmt = $pdo->prepare($sql);
$stmt->execute();
$result = $stmt->fetchAll();
$stmt->close();
//Save the data of the order in variables
$order_id = $result[0]['order_id'];
$total_amount = $result[0]['total_amount'];
$invoice_status = $result[0]['invoice_status'];
$invoice_id = $result[0]['invoice_id'];
$date_created = $result[0]['date_created'];

//Close the connection
$pdo = null;
4
  • 4
    ¿Responde esto a tu pregunta? ¿Cómo evitar la inyección SQL en PHP?
    – Marcos
    el 23 mar. 2022 a las 15:56
  • Parcialmente, ya había realizado algo igual de hecho basado en esa pregunta, pero no logre hacer que además de obtener el order_id obtuviera los demas parametros y los almacenara en las variables que usa el script después, eso me confunde el 23 mar. 2022 a las 16:01
  • 1
    Te recomiendo leer esta respuesta
    – Marcos
    el 23 mar. 2022 a las 16:18
  • Según leí en la respuesta que me pasaste PDO es un poco más facil y en base a las otras respuestas igual es más seguro, por lo cual me interesaria que fuese en PDO para irme formando en eso, de igual forma empezare a documentarme el 23 mar. 2022 a las 16:40

1 respuesta 1

1

Veo 1 error y es que PDOStatement no posee un método close.

Por otro lado, ya que vas a obtener un solo registro, podrias usar fetch.

Tu código podría ser el siguiente:

<?php

$db_host = 'localhost';
$db_name = 'db_name'; // cambiar
$db_charset = 'utf8';
$db_user = 'db_user'; // cambiar
$db_pass = 'db_pass'; // cambiar

$order_id = 1; // cambiar

//Connect to DB 
$dsn = "mysql:host=$db_host;dbname=$db_name;charset=$db_charset";
$opt = [
    PDO::ATTR_ERRMODE            => PDO::ERRMODE_EXCEPTION,
    PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC,
    PDO::ATTR_EMULATE_PREPARES   => false,
];
try {
    $pdo = new PDO($dsn, $db_user, $db_pass, $opt);
} catch (PDOException $e) {
    die('Falló la conexión: ' . $e->getMessage());
}

//Query to obtain the data of the order
$sql = "SELECT * FROM orders  WHERE order_id = '$order_id'";
$stmt = $pdo->prepare($sql);
$stmt->execute();
$result = $stmt->fetch();
if ($result === false) die("La orden # $order_id no existe.");

//Save the data of the order in variables
$order_id = $result['order_id'];
$total_amount = $result['total_amount'];
$invoice_status = $result['invoice_status'];
$invoice_id = $result['invoice_id'];
$date_created = $result['date_created'];

//Close the connection
$pdo = null; // hacer esto es opcional

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.