1

Soy muy nuevo en SQL y estoy desarrollando un proyecto utilizando PHP y MySQL. ¿Cómo puedo incluir una variable para obtener información seleccionada de la tabla?

Este es el código que tengo:

<div class="section">
  <?php
    $sql='SELECT * FROM users WHERE Patrocinador = $_SESSION['NumCedula']';
    $result = mysql_query($sql);
    //echo [$result];
    while ($row = mysql_fetch_array($result, MYSQL_ASSOC)) {
  ?>
      <div class="mis_afiliados_1">
        <a> 
          <img src="<?php echo $row['avatar'];?>" alt="Avatar" style="max-width:90px;max-height:auto; border-radius:50%; border:2px #000 solid;" /><br>   
        <?php
          echo $row['nombre'];
        ?><br>
        <?php echo date('d/m/Y',$row['signup_date']); ?></a><br>
      </div>
      <?php
    }
  ?>
</div>

Obviamente la variable $_SESSION['NumCedula'] no funciona, solo necesito que reconozca la información almacenada en la celda NumCedula de la base de datos para que funcione. ¿Cómo lo hago?

1
  • Hola. Bienvenido a Stack Overflow en español. ¿Podrías traducir tu pregunta? // If you'd like to ask in English, please remove your question by clicking on "eliminar" and ask on Stack Overflow
    – Mariano
    el 27 mar. 2017 a las 5:16

2 respuestas 2

5

Según lo que conozco de PHP hay 2 formas sencillas de hacerlo:

Usando un . (punto):

$sql='SELECT * FROM users WHERE Patrocinador = '.$_SESSION['NumCedula'].'';

Pero, es nada seguro. Deja una puerta muy abierta a inyecciones SQL.

Usando {}

Para ello hay que usar comillas dobles.

$sql="SELECT * FROM users WHERE Patrocinador = {$_SESSION['NumCedula']}";

Aun, este metodo es tan inseguro como el primero.

Te recomiendo que apliques una proteccion almenos del nivel 1 como lo es usar htmlentities():

$numCedula = htmlentities($_SESSION['NumCedula'],ENT_QUOTES,'utf-8');
$sql="SELECT * FROM users WHERE Patrocinador = {$numCedula}";

Esto cambiara simbolos como <>"' a entidades HTML, el resultado de esos 4 simbolos seria el siguiente: &lt;&gt;&quot;&apos; asi que de esta forma, el atacante tendra menos posibilidades de hacerse con tu informacion :)

2
  • Excelente respuesta Máxima Alekz .. se te agradecece enormemente!!
    – Jesunday
    el 27 mar. 2017 a las 7:26
  • Si te ha funcionado por favor, marcala como respuesta :) Eso se hace dando click en el signo ✓ el 28 mar. 2017 a las 3:10
1

Puedes acceder a las variables si las colocas entre corchetes {}

<?php
  $sql="SELECT * FROM users WHERE Patrocinador = {$_SESSION['NumCedula']}";
?>
3
  • Wow gracias; pero ahora me sale este error: Warning: mysql_fetch_array() expects parameter 1 to be resource, boolean given in /home/fareleon/public_html/ecuador/mi-red.php on line 19
    – Jesunday
    el 27 mar. 2017 a las 5:35
  • Para usar variables incrustadas en Strings es necesario que el string sea con comillas dobles el 27 mar. 2017 a las 6:21
  • @MáximaAlekz gracias, se edito la respuesta. el 27 mar. 2017 a las 6:27

Tu Respuesta

Al pulsar en “Publica tu respuesta”, muestras tu consentimiento a nuestros términos de servicio, política de privacidad y política de cookies

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.