1

Este es mi código y no veo el error, tengo otro idéntico que funciona. Si alguien me ayuda a detectar el error se lo agradeceré muchísimo.

<?php

    $con = mysqli_connect("localhost","root","olvolv","diario");
    if (!$con) {
        echo "Error al conectar la base de datos";
        }
    else {
        echo "Conectado a la base de datos";
        }

mysqli_query($con,"INSERT INTO diario (email,password) 
VALUES ('{$_POST['email']}','{$_POST['password']}')");

    //FORMULARIO DE PEDIR DATOS
?>

<form method="post">

    <input type="email" name="email" placeholder="Su email">    
    <input type="password" name="password" placeholder="Password"> <br><br>
    <input type="submit" name="submit" value="Regístrese!">

</form>
6
  • Tampoco veo, el código. Podrias editar tu pregunta x favor.
    – Rostan
    el 18 jun. 2017 a las 20:29
  • 1
    para obtener mas informacion sobre tu error puedes usar: if (!mysqli_query($con,"INSERT INTO diario (email,password) VALUES ('{$_POST['email']}','{$_POST['password']}')")")) { echo("Error: " . mysqli_error($con)); } el 18 jun. 2017 a las 20:39
  • "tengo otro idéntico que funciona". ¿Cómo es el otro?¿Cuáles son las diferencias entre ambos? Tiene que haber alguna diferencia si uno funciona y el otro no.
    – Alvaro Montoro
    el 18 jun. 2017 a las 21:14
  • Tienes razón debe haber alguna diferencia. Este es el otro código:
    – Olga L. V.
    el 18 jun. 2017 a las 21:22
  • El if() que me recomendó @AlvaroMontoro es una buena idea, pero me da un error de sintaxis y tampoco lo detecto :(
    – Olga L. V.
    el 18 jun. 2017 a las 21:41

3 respuestas 3

1

Hola amigos bueno ya no me dedico a PHP pero te recomendaria que usaras PHP 5 con programacion orientada a objetos, @A. Cedano , tienes muchos riegos de seguridad SQL, mira aqui tienes un ejemplo de codigo PHP que podrias usar en tu codigo.

<?php
class db {
	private $conn;
	private $host;
	private $user;
	private $password;
	private $baseName;
	private $port;
	private $Debug;
 
    function __construct($params=array()) {
		$this->conn = false;
		$this->host = 'localhost'; //hostname
		$this->user = 'user'; //username
		$this->password = 'pass'; //password
		$this->baseName = 'dbname'; //name of your database
		$this->port = '3306';
		$this->debug = true;
		$this->connect();
	}
 
	function __destruct() {
		$this->disconnect();
	}
	
	function connect() {
		if (!$this->conn) {
			try {
				$this->conn = new PDO('mysql:host='.$this->host.';dbname='.$this->baseName.'', $this->user, $this->password, array(PDO::MYSQL_ATTR_INIT_COMMAND => 'SET NAMES utf8'));  
			}
			catch (Exception $e) {
				die('Erreur : ' . $e->getMessage());
			}
 
			if (!$this->conn) {
				$this->status_fatal = true;
				echo 'Connection BDD failed';
				die();
			} 
			else {
				$this->status_fatal = false;
			}
		}
 
		return $this->conn;
	}
 
	function disconnect() {
		if ($this->conn) {
			$this->conn = null;
		}
	}
	
	function getOne($query) {
		$result = $this->conn->prepare($query);
		$ret = $result->execute();
		if (!$ret) {
		   echo 'PDO::errorInfo():';
		   echo '<br />';
		   echo 'error SQL: '.$query;
		   die();
		}
		$result->setFetchMode(PDO::FETCH_ASSOC);
		$reponse = $result->fetch();
		
		return $reponse;
	}
	
	function getAll($query) {
		$result = $this->conn->prepare($query);
		$ret = $result->execute();
		if (!$ret) {
		   echo 'PDO::errorInfo():';
		   echo '<br />';
		   echo 'error SQL: '.$query;
		   die();
		}
		$result->setFetchMode(PDO::FETCH_ASSOC);
		$reponse = $result->fetchAll();
		
		return $reponse;
	}
	
	function execute($query) {
		if (!$response = $this->conn->exec($query)) {
			echo 'PDO::errorInfo():';
		   echo '<br />';
		   echo 'error SQL: '.$query;
		   die();
		}
		return $response;
	}
}

Fuente de codigo

En el link hay mas detalles del codigo, igualmente te recomendaria que veas la documentacion de PHP Aqui

Igualmente te recomiendo que veas esta pregunta sobre como prevenir la inyeccion SQL en php --> Aqui

Espero que te sirva.

6
  • 1
    ¿Cuáles errores? ¿No estarás confundiendo más bien MySQLi con PDO? Mi código es seguro. Por cierto, la versión más actual de PHP es la 7, no la 5 como dices. Y en cuanto a tu PDO, es inseguro ya que permite la emulación de consultas preparadas y pueden pasarte cosas como las explicadas aquí.
    – A. Cedano
    el 18 jun. 2017 a las 21:44
  • noo no @A.Cedano no confundo tu codigo sino que el codigo de la persona que publico la pregunta tiene problema de seguridad SQL y le estoy recomendado que use PHP 5, uno de los errores que veo en el codigo de la persona que la publico es que no cierra la conexion eso es un riego.
    – simon
    el 18 jun. 2017 a las 21:48
  • En tu respuesta dices que mi código es inseguro, si lees bien. Y revisa esa conexión PDO, porque no es segura por lo que explico en el comentario de más arriba. Si quieres usar PDO te recomiendo esta clase, la cual maneja PDO de una forma segura.
    – A. Cedano
    el 18 jun. 2017 a las 21:51
  • buen codigo el de tu github
    – simon
    el 18 jun. 2017 a las 21:52
  • Gracias @Gilbertoquintero, me sirvió de mucho tanto tu código como las explicaciones y los link. Te lo agradezco muchísimo. Ya resolví el problema
    – Olga L. V.
    el 18 jun. 2017 a las 22:47
1

A pesar de que veo el codigo bien, hay posibilidades de que las comillas simples en el $_POST te pueda generar conflictos.

Yo te recomendaría que hicieras lo siguiente.

$email = $_POST['email'];
$password = $_POST['password'];

mysqli_query($con,"INSERT INTO diario (email,password) 
VALUES ('$email','$password')");

Espero que te funcione.

1
  • Muchas gracias @JesusMatiz, ya resolví el problema. Te estoy agradecida
    – Olga L. V.
    el 18 jun. 2017 a las 22:51
0

En parte me alegro de que tu código no funcione, por un simple motivo. Es altamente riesgoso. Supongamos que todo esté bien, y en el último textfield, el que recoge el password, alguien escriba esto:

passwordvalido; DELETE FROM diario;

Cuando ejecutares la instrucción, la persona maliciosa estaría enviando dos consultas a la base de datos, y en la segunda consulta estaría borrando la tabla diario completamente.

Este es un ejemplo sencillo de lo que se llama Inyección SQL. Una técnica a través de la cual usuarios maliciosos pueden enviar código dañino junto con código bueno. Como decía, este es un ejemplo sencillo, ya que pueden haber inyecciones SQL aún peores, como que un hacker tome todo el control del sistema u obtenga las claves de acceso a la base de datos.

Para evitarlo, es absolutamente necesario que insertes los datos usando consultas preparadas, es decir, que no pases nunca en una misma cadena la instrucción SQL (INSERT, SELECT, UPDATE ... ) con datos que vengan desde fuera, tales como datos obtenidos de formularios. En las consultas preparadas los datos son sustutidos por signos de interrogación ? y luego son pasados aparte usando métodos de la API que hace de puente con la bd, en este caso MySQLi.

Te mostraré un código de ejemplo, el cual puedes adaptar para crear un script de inserción de datos que sea seguro.

El código está comentado, por lo que creo que es sencillo de entender. Sólo tienes que cambiar los valores correspondientes.

Lo he probado en phpfiddle y funciona.

Código

<?php

require "util/public_db_info.php";

    $mysqli = new mysqli($host_name, $user_name, $pass_word, $database_name, $port);

    /*
        * Las consultas preparadas sustituyen los valores reales
        * por signos de interrogación en MySQLi
    */
    $sql = "INSERT INTO diario (email, password) VALUES (?, ?)";    

    /*
        * Almacenar en variables los datos a insertar
        * obteniéndolos por _$POST
    */
    $email=$_POST['email'];
    $password=$_POST['password'];;

    //Preparar la consulta
    $stmt=$mysqli->prepare($sql);

    //Evaluar si  la preparación tuvo  éxito
    if ($stmt) 
    {

         /*
           * Pasar parámetros separados  de la instrucción SQL
           * la letras "ss" indican el tipo de cada dato que se va a insertar
           * s: String, si es una cadena , i: Integer, si fuera un entero, etc
           * Ejecutar
        */
        $stmt->bind_param("ss", $email,$password);
        $stmt->execute();

        /*
          * Imprimir la cantidad de filas insertadas usando affected_rows
        */

        printf("%d Fila insertada.\n", $stmt->affected_rows);

        /*
         * Cerrar $stmt y luego la conexión
         * para liberar recursos
        */

    $stmt->close();
}

$mysqli->close();

?>
1
  • Es absolutamente cierto lo que dice, pero esto es solo una prueba porque estoy aprendiendo MySQL. El código completo es diferente e incluye protección para los password (md5.etc) y para inyecciones maliciosas. Muchísimas gracias por su explicación y por el código. Saludos
    – Olga L. V.
    el 18 jun. 2017 a las 21:50

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.