1

Soy muy nuevo en SQL y estoy desarrollando un proyecto utilizando PHP y MySQL. ¿Cómo puedo incluir una variable para obtener información seleccionada de la tabla?

Este es el código que tengo:

<div class="section">
  <?php
    $sql='SELECT * FROM users WHERE Patrocinador = $_SESSION['NumCedula']';
    $result = mysql_query($sql);
    //echo [$result];
    while ($row = mysql_fetch_array($result, MYSQL_ASSOC)) {
  ?>
      <div class="mis_afiliados_1">
        <a> 
          <img src="<?php echo $row['avatar'];?>" alt="Avatar" style="max-width:90px;max-height:auto; border-radius:50%; border:2px #000 solid;" /><br>   
        <?php
          echo $row['nombre'];
        ?><br>
        <?php echo date('d/m/Y',$row['signup_date']); ?></a><br>
      </div>
      <?php
    }
  ?>
</div>

Obviamente la variable $_SESSION['NumCedula'] no funciona, solo necesito que reconozca la información almacenada en la celda NumCedula de la base de datos para que funcione. ¿Cómo lo hago?

1
  • Hola. Bienvenido a Stack Overflow en español. ¿Podrías traducir tu pregunta? // If you'd like to ask in English, please remove your question by clicking on "eliminar" and ask on Stack Overflow
    – Mariano
    Commented el 27 mar. 2017 a las 5:16

2 respuestas 2

5

Según lo que conozco de PHP hay 2 formas sencillas de hacerlo:

Usando un . (punto):

$sql='SELECT * FROM users WHERE Patrocinador = '.$_SESSION['NumCedula'].'';

Pero, es nada seguro. Deja una puerta muy abierta a inyecciones SQL.

Usando {}

Para ello hay que usar comillas dobles.

$sql="SELECT * FROM users WHERE Patrocinador = {$_SESSION['NumCedula']}";

Aun, este metodo es tan inseguro como el primero.

Te recomiendo que apliques una proteccion almenos del nivel 1 como lo es usar htmlentities():

$numCedula = htmlentities($_SESSION['NumCedula'],ENT_QUOTES,'utf-8');
$sql="SELECT * FROM users WHERE Patrocinador = {$numCedula}";

Esto cambiara simbolos como <>"' a entidades HTML, el resultado de esos 4 simbolos seria el siguiente: &lt;&gt;&quot;&apos; asi que de esta forma, el atacante tendra menos posibilidades de hacerse con tu informacion :)

2
  • Excelente respuesta Máxima Alekz .. se te agradecece enormemente!!
    – Jesunday
    Commented el 27 mar. 2017 a las 7:26
  • Si te ha funcionado por favor, marcala como respuesta :) Eso se hace dando click en el signo ✓ Commented el 28 mar. 2017 a las 3:10
1

Puedes acceder a las variables si las colocas entre corchetes {}

<?php
  $sql="SELECT * FROM users WHERE Patrocinador = {$_SESSION['NumCedula']}";
?>
3
  • Wow gracias; pero ahora me sale este error: Warning: mysql_fetch_array() expects parameter 1 to be resource, boolean given in /home/fareleon/public_html/ecuador/mi-red.php on line 19
    – Jesunday
    Commented el 27 mar. 2017 a las 5:35
  • Para usar variables incrustadas en Strings es necesario que el string sea con comillas dobles Commented el 27 mar. 2017 a las 6:21
  • @MáximaAlekz gracias, se edito la respuesta. Commented el 27 mar. 2017 a las 6:27

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.