1

Tengo el siguiente código:

<?php



//conexión//
$servername = "XXXXXXXXXXXXXX";
$username = "XXXXXXXXXXXXXXXX";
$password = "XXXXXXXXXXXXXXXX";

$conn = mysqli_connect($servername, $username, $password);

//post variables//
$account_server = $_POST["account_server"];
$account_server = mysqli_real_escape_string($conn, $account_server);
$account_type = $_POST["account_type"];
$account_type = mysqli_real_escape_string($conn, $account_type);
$unranked_type = $_POST["unranked_type"];
$unranked_type = mysqli_real_escape_string($conn, $unranked_type);
$ranked_type = $_POST["ranked_type"];
$ranked_type = mysqli_real_escape_string($conn, $ranked_type);
$account_username = $_POST["account_username"];
$account_username = mysqli_real_escape_string($conn, $account_username);
$account_password = $_POST["account_password"];
$account_password = mysqli_real_escape_string($conn, $account_password);

//consultas//
$query1 = mysqli_query($conn,"INSERT INTO Cuentas (Server,Account_Class,Unranked_Type,Ranked_Type,Username,Password) VALUES('$account_server','$account_type','$unranked_type','$ranked_type','$account_username','$account_password')");


$notificationmsg1;

if ($query1) {
    $notificationmsg1 = "La cuenta ha sido agregada a la base de datos correctamente.";
    echo $notificationmsg1;
} else if (!$query1) {
    $notificationmsg1 = "No se pudo agregar la cuenta a la base de datos correctamente.";
    echo $notificationmsg1;
}

mysqli_close($conn);

?>

Siempre al procesarse el php me salta el mensaje de "No se pudo agregar la cuenta a la base de datos correctamente."

He comprobado ya:

1) Las strings y sus respectivas informaciones son importadas correctamente desde mi form HTML mediante $_POST.

2) La conexión con la base de datos se establece correctamente.

¿Probablemente tenga algún fallo de sintaxis? ¿O el error se debe a otra cosa? Gracias de antemano por vuestra ayuda. :)

2

2 respuestas 2

1

Es posible que algo no sea correcto en tu consulta SQL.

Te puedes apoyar en mysqli_error() para mostrar los errores que se produzcan en la consulta.

Añade:

echo mysqli_error($conn);

Después de ejecutar tu consulta o en elseif que tienes.

6
  • Lo más incorrecto de todo este código es no usar consultas preparadas. Es un código totalmente vulnerable para recibir inyección SQL que podría borrar todas las tablas y hasta tomar el control de la base de datos en cuanto la consulta, como la tiene planteada, funcione.
    – A. Cedano
    el 16 abr. 2017 a las 21:12
  • Por favor ¿has visto el código del compañero? Esta escapando los datos de forma adecuada mysqli_real_escape_string lo único que se le puede criticar en ese aspecto es no establecer el juego de caracteres. Las sentencias preparadas no siempre son la mejor opción, véase la documentación.
    – Xerif
    el 16 abr. 2017 a las 21:41
  • ¿Crees que escapar las cadenas es un método seguro contra la inyección SQL? Te equivocas. Mira esto: adampalmer.me/iodigitalsec/2013/08/18/… Además, la documentación dice claramente que siempre que tomes datos desde fuera debes usar sentencias preparadas: php.net/manual/es/security.database.sql-injection.php Te recomiendo que leas esto también: es.stackoverflow.com/questions/18232/… Saludos.
    – A. Cedano
    el 16 abr. 2017 a las 21:58
  • He revisado tus enlaces y en todos se proporciona mysqli_real_escape_string como alternativa siempre que sea usado de forma adecuada. mysqli_real_escape_string es seguro para escapar cadenas de texto solo hay que utilizarla de forma correcta. Un buen hilo para que entiendas lo que digo puede ser este. Esto no quita que se recomienden sentencias preparadas.
    – Xerif
    el 16 abr. 2017 a las 23:40
  • lee el enlace que te puse en el anterior comentario al respecto y los comentarios al enlace que me has enviado. Verás que varios usuarios dicen lo mismo : escapar cadenas no siempre te permite escapar de una inyección. Consultas preparadas es el camino.
    – A. Cedano
    el 17 abr. 2017 a las 0:00
0

El error que veo en tu código, es que, no has añadido la Base de datos con la que va a trabajar tu conexión.

Tu código:

$conn = mysqli_connect($servername, $username, $password, BD.....);
                                                         ^^^^^^^^

Código actualizado:

$conn = mysqli_connect("servidor", "usuario", "contraseña", "Base_de_datos");

Posiblemente con eso te funcionara el código.

Tambien podrias mandar un error en caso que fallara tu sentencia insert.

if (!$query1) {
    //Error.
    printf("Error: %s\n", mysqli_error($conn));
    //Notificación.
    $notificationmsg1 = "No se pudo agregar la cuenta a la base de datos correctamente.";
    echo $notificationmsg1;
} else {
    $notificationmsg1 = "La cuenta ha sido agregada a la base de datos correctamente..";
    echo $notificationmsg1;
}

mysqli_close($conn);

Nota: ahora bien, si quieres obtener mayor seguridad, te dejo una segunda respuesta.

Para mayor seguridad ante ataques de SQL, es mejor utilizar sentencia preparadas o PDO como ya te han mencionado. Podrás encontrar información aquí ante como evitar la inyección SQL

Un posible ejemplo Mysqli prepare():

<?php

if (isset($_POST)) {

    //Obtenemos datos
    $account_server = $_POST["account_server"] ?: '';
    $account_type = $_POST["account_type"] ?: '';
    $unranked_type = $_POST["unranked_type"] ?: '';
    $ranked_type = $_POST["ranked_type"] ?: '';
    $account_username = $_POST["account_username"] ?: '';
    $account_password = $_POST["account_password"] ?: '';

    //Verdadero datos.
    if ($account_server && $account_type && $unranked_type && $ranked_type && $account_username && $account_password) {

        //Importante llamar a conexion donde se va utilizar.
        $conn = new mysqli("servidor", "usuaio", "contraseña", "basedatos");

        /* verificar conexión */
        if (mysqli_connect_errno()) {
            printf("La conexión fallo: %s\n", mysqli_connect_error());
            exit();
        }
        //Sentencia preparada.
        $query = $conn->prepare("INSERT INTO Cuentas (Server,Account_Class,Unranked_Type,Ranked_Type,Username,Password) VALUES (?,?,?,?,?,?)");

        /*  ¡IMPORTANTE, Especificación del tipo de caracteres de tus variables!

            i   la variable correspondiente es de tipo entero
            d   la variable correspondiente es de tipo double
            s   la variable correspondiente es de tipo string
            b   la variable correspondiente es un blob y se envía en paquetes
        */      
        $rc = $query->bind_param("sissss",$account_server,$account_type,$unranked_type,$ranked_type,$account_username,$account_password);

        if ( false===$rc ) {            
            die('bind_param() fallo: ' . htmlspecialchars($query->error));
        }

        $rc = $query->execute(); //Ejecutar sentencia.

        if ( false===$rc ) {
            die('execute() fallo: ' . htmlspecialchars($query->error));
        } else {            
            echo "La cuenta ha sido agregada a la base de datos correctamente.";
        }

        $query->close();//Cerramos sentencia.    

    }

}

?>

Manual mysqli::prepare

4
  • ¿Sólo ves ese error? Y... ¿qué hay de la inyección SQL? Es hasta mejor que ese código no funcione pues si funciona y alguien escribe en el último $_POST lo siguiente: 1; DELETE FROM unatabla; DELETE FROM otratabla; ettttttc ya sabes lo que pasaría. Me parece grave que se aporten respuestas sin advertir sobre un error mucho más grave como es no usar consultas preparadas.
    – A. Cedano
    el 16 abr. 2017 a las 20:17
  • @A.Cedano ese dato de la inyección ya lo habías aclarado tú mismo en un comentario anteriormente, para que volver a advertirle. Simplemente contesto a su fallo, que es en lo que se base la pregunta.
    – D.Bulten
    el 16 abr. 2017 a las 20:25
  • No estaría de más indicárselo al menos en una nota, en la respuesta. A veces los comentarios son ignorados porque se busca una solución fácil a los problemas, el camino corto que a veces conduce a situaciones lamentables. En realidad una solución basada en código obsoleto e inseguro es solo una solución ilusoria. Quizá luego tendremos al OP de regreso diciendo que ha perdido todos sus datos y que no entiende por qué. Creo que responder para hacer que en un código vulnerable funcione, en vez de resolver el problema crea otro mayor. Saludos.
    – A. Cedano
    el 16 abr. 2017 a las 21:06
  • @A.Cedano, tienes razón, a veces vamos directo a lo fácil, y no leemos pequeñas cosas importantes, ahora edito mi respuesta con un ejemplo preparada. Un saludo.
    – D.Bulten
    el 16 abr. 2017 a las 21:27

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.