En parte me alegro de que tu código no funcione, por un simple motivo. Es altamente riesgoso. Supongamos que todo esté bien, y en el último textfield, el que recoge el password, alguien escriba esto:
passwordvalido; DELETE FROM diario;
Cuando ejecutares la instrucción, la persona maliciosa estaría enviando dos consultas a la base de datos, y en la segunda consulta estaría borrando la tabla diario
completamente.
Este es un ejemplo sencillo de lo que se llama Inyección SQL. Una técnica a través de la cual usuarios maliciosos pueden enviar código dañino junto con código bueno. Como decía, este es un ejemplo sencillo, ya que pueden haber inyecciones SQL aún peores, como que un hacker tome todo el control del sistema u obtenga las claves de acceso a la base de datos.
Para evitarlo, es absolutamente necesario que insertes los datos usando consultas preparadas, es decir, que no pases nunca en una misma cadena la instrucción SQL (INSERT, SELECT, UPDATE ...
) con datos que vengan desde fuera, tales como datos obtenidos de formularios. En las consultas preparadas los datos son sustutidos por signos de interrogación ?
y luego son pasados aparte usando métodos de la API que hace de puente con la bd, en este caso MySQLi.
Te mostraré un código de ejemplo, el cual puedes adaptar para crear un script de inserción de datos que sea seguro.
El código está comentado, por lo que creo que es sencillo de entender. Sólo tienes que cambiar los valores correspondientes.
Lo he probado en phpfiddle y funciona.
Código
<?php
require "util/public_db_info.php";
$mysqli = new mysqli($host_name, $user_name, $pass_word, $database_name, $port);
/*
* Las consultas preparadas sustituyen los valores reales
* por signos de interrogación en MySQLi
*/
$sql = "INSERT INTO diario (email, password) VALUES (?, ?)";
/*
* Almacenar en variables los datos a insertar
* obteniéndolos por _$POST
*/
$email=$_POST['email'];
$password=$_POST['password'];;
//Preparar la consulta
$stmt=$mysqli->prepare($sql);
//Evaluar si la preparación tuvo éxito
if ($stmt)
{
/*
* Pasar parámetros separados de la instrucción SQL
* la letras "ss" indican el tipo de cada dato que se va a insertar
* s: String, si es una cadena , i: Integer, si fuera un entero, etc
* Ejecutar
*/
$stmt->bind_param("ss", $email,$password);
$stmt->execute();
/*
* Imprimir la cantidad de filas insertadas usando affected_rows
*/
printf("%d Fila insertada.\n", $stmt->affected_rows);
/*
* Cerrar $stmt y luego la conexión
* para liberar recursos
*/
$stmt->close();
}
$mysqli->close();
?>
if (!mysqli_query($con,"INSERT INTO diario (email,password) VALUES ('{$_POST['email']}','{$_POST['password']}')")")) { echo("Error: " . mysqli_error($con)); }