5

Cambiar de mysql_query a mysqli_query bueno en realidad no le entiendo mucho al cambio espero me pudieras ayudar a cambiar mi consulta que estoy haciendo es para verificar el usuario y contraseña de mi login les dejo el código no le entiendo muy bien al cambio por mysqli

$re=mysqli_query("select * from user_alumno where CURP='".$_POST['Usuario']."' AND 
                CONTRASENA='".$_POST['Password']."'")   or die(mysql_error());
while ($f=mysqli_fetch_array($re)) {
        $arreglo[]=array('Id'=>$_POST['id']);
4
  • Podrias colocar cual es tu error, si en caso que mysqli_query() no te funciona es puede ser por la version de tu php ya que esa funcion esta disponible desde PHP 5, puedes ver la version de tu php desde tu consola con el comando php -v el cual te dara la version de tu php
    – Shassain
    el 4 ago. 2017 a las 4:04
  • de echo es version reciente por que penas tuve que formatear mi computadora y comenzar de nuevo y pues antes lo tenia con mysql_conect y el mismo xampp me decia que debia cambiarlo por mysqli o PDO por que ya estará obsoleto el mysql_conect y bueno mi error es el siguiente Warning: mysqli_query() expects at least 2 parameters, 1 given in .... gracias el 4 ago. 2017 a las 4:16
  • puedes encontrar informacion en php.net/manual/es/mysqli.query.php
    – Shassain
    el 4 ago. 2017 a las 4:24
  • Si quieres puedes marcar como solución la respuesta que más te haya ayudado a resolver el problema, de modo que la pregunta no aparezca como sin resolver. Es también una forma de valorar el esfuerzo que se ha hecho por responder a tu duda. Saludos.
    – A. Cedano
    el 5 ago. 2017 a las 15:51

2 respuestas 2

4

Migrar de mysql_* a mysqli o a PDO es un cambio muy importante, ya que la primera ha sido declarada obsoleta. ¿El motivo? Entre otros, porque no se pueden manejar los datos con seguridad (otros motivos son explicados en el enlace al final de esta respuesta).

Las consultas con mysql_* son una puerta abierta a la Inyección SQL.

Imaginemos que en esta consulta:

select * from user_alumno where CURP='".$_POST['Usuario']."' AND 
            CONTRASENA='".$_POST['Password']`

tienes un formulario para que cualquier usuario escriba su contraseña.

Hasta ahí todo bien... pero que tal si hay un usuario malicioso que donde va el password escribe esto:

1; DELETE FROM user_alumno; --

Con esa simpleza, cualquiera inyectaría código malicioso el cual en este caso borraría completamente la tabla user_alumno. ¡Y esto es lo menos grave que podría pasar cuando hablamos de Inyección SQL.! Si dejas esa puerta abierta un usuario con ciertas habilidades podría tomar el control de la base de datos e incluso del sistema y alterar los datos. Imagina alterar los valores de las cuentas en una institución bancaria... podrías terminar en la cárcel.

Entonces, el paso a MySQLi o a PDO, es vital.

Ahora bien, mucha atención a esto:

De nada sirve pasar a MySQLi si sigues construyendo tus consultas como más arriba, ya que, aunque tengas MySQLi te van a seguir inyectando código malicioso.

Es aquí cuando entran en juego las consultas preparadas. Lo que hace MySQLi y PDO es permitirnos construir consultas preparadas, cosa que mysql_* no hace y por eso entre otras cosas ha sido descartada. Es decir, la seguridad implica no solamente usar MySQLi o PDO, sino usarlos aplicando consultas preparadas, cuando sean requeridas.

Las consultas preparadas lo que hacen es enviar por separado la instrucción SQL y los valores que ésta debe tener, en el caso de consultas que usen valores desde el exterior.

Otra cosa que se descarta, al usar consultas preparadas, es el uso de funciones de escape que durante muchísimo tiempo se usaron creyendo que eran seguras para sanear los datos. La experiencia ha demostrado que se puede preparar una inyección SQL perfectamente sin tener que escapar nada en los valores.

Veamos brevemente lo que habría que hacer paso a paso para migrar a mysqli:

  1. Crear una instancia de la conexión:

    $mysqli = new mysqli($host_name, $user_name, $pass_word, $database_name, $port);
    
  2. Crear la consulta aplicando lo que ya dijimos: consultas preparadas:

    $sql= "select * from user_alumno  
              where CURP = ? AND CONTRASENA = ?";
    

Como ves, los valores son reemplazados por signos de interrogación, porque serán pasados aparte. De ese modo se evita la Inyección.

  1. Recuperar los valores que vienen desde fuera.

Los valores que vienen de fuera, son recuperados como de costumbre por $_POST y son pasados usando métodos con los que ya cuenta MySQLi:

    $usuario=$_POST['Usuario'];
    $password=$_POST['Password']
  1. Preparar la consulta y pasar los datos usando los método de MySQLi

Vamos a preparar la consulta y a pasarle los valores aparte. En el método bind_param se debe indicar por las letras entre comillas de que tipo es cada dato. En este caso, si ambos son del tipo string, se ponen dos s. Si alguno fuese del tipo integer, se pondría una i. Cada letra va en el orden de la variable que se está pasando.

$stmt=$mysqli->prepare($sql);
$stmt->bind_param("ss", $usuario,$password);
  1. Ejecutar la consulta

Una vez preparada la consulta la ejecutamos.

$stmt->execute();
  1. Recuperar los resultados

Luego que la consulta se prepara y se ejecuta, hay varias formas de obtener los resultados.

Te dejo un código completo de ejemplo que muestra una de las formas de obtener los resultados.

Hay comentarios en el código que explican más o menos lo que se hace. Podrás adaptarlo a tu situación. Lo que se hace en este caso es obtener los primeros cinco libros de una bd, aplicando dos criterios.


Código: ver demo

<?php

require "util/public_db_info.php";

$mysqli = new mysqli($host_name, $user_name, $pass_word, $database_name, $port);

$sql = "SELECT id, title FROM books WHERE id > ? AND ean = ? LIMIT 5";  

    /*
      * Valores que  habitualmente  son  recuperados  por  $_POST
    */

$id=0;
$ean="X8";


//Preparar la consulta
$stmt=$mysqli->prepare($sql);

//Evaluar si  tuvo  éxito
if ($stmt) {
    /*
      * Pasar parámetros separados  de la instrucción SQL
      * Ejecutar
      * Almacenar los resultados
    */
    $stmt->bind_param("is", $id,$ean);
    $stmt->execute();
    $stmt->store_result();
    echo "<pre>";

    /*
      * Imprimir los  resultados
      *  asignándolos a  variables
    */



     $stmt->bind_result($id, $titulo);
     while ($stmt->fetch()) 
     {
        echo 'ID: '.$id.' - ';
        echo 'Titulo: '.$titulo.'<br>';
      }
      echo "</pre>";

    /*
      * Cerrar  recursos
    */

    $stmt->close();
}else{
    echo "Hubo un fallo en la consulta";
}
$mysqli->close();

?>

Resultado:

ID: 1 - Titulo: Un hombre para la  eternidad
ID: 2 - Titulo: Un hombre para la eternidad
ID: 3 - Titulo: Romeo y Julieta
ID: 4 - Titulo: El Quijote
ID: 5 - Titulo: Los Miserables

PDO es otra opción

Yo recomiendo usar PDO en lugar de MySQLi ya que ofrece varias ventajas.

Con PDO aunque cambies el motor de base de datos, puedes seguir usando el mismo código, cambiando solamente una mínima parte del código.

La obtención y manejo de datos se hace mucho más fácil y clara.

El peligro de PDO, como de MySQLi, es que lo uses mal y sobre todo que lo configures mal al momento de obtener la conexión.

Para evitar riesgos y también facilitar las cosas lo mejor sería tener una sola clase que cree tu conexión a la base de datos y que contenga los métodos necesarios para consultarla y obtener los datos.

Esta clase PHP-PDO podría serte de utilidad si quieres migrar tu código definitivamente a PDO.

Ejemplo de uso:

//Incluir la clase y crear una instancia de la misma
require_once("DbPDO.class.php");
$pdo=new DbPDO();

//Consultar
$sql= "select * from user_alumno  
       where CURP = :curp AND CONTRASENA = :password";
$params=array("curp"=>"1","password"=>"5")
$datos=$pdo->query($sql,$params);

//En $datos tendríamos un arreglo con los resultados
//Una forma de mostrarlos sería

foreach ($datos as $row)
{
    echo $row["nombre"]." ".$row["apellido"]."<br>";
}

La clase tiene métodos para obtener una sola columna, una sola fila. Y le puedes incorporar métodos personalizados según tus necesidades.


Enlaces relacionados:

Recomiendo la lectura de estas preguntas de SO para tener una visión más amplia del tema:

1

PHP provee 3 extensiones diferentes para conectar con bases de datos MySQL:

  • MySQL (original)
  • MySQLi (o mysql mejorada)
  • PDO (Objetos de datos de PHP)

Veamos pues las principales diferencias entre ellas:

MySQL (original)

Su uso está desaconsejado, esta extensión esta obsoleta. Sólo se debería usar en versiones PHP < 5.0

  • Está obsoleta sólo se debería utilizar en versiones de PHP < 5.0.
  • Proporciona una sola interfaz procedural.
  • Versiones del motor de MySQL anteriores a la 4.1.3, ya que no soporta las nuevas funcionalidades añadidas después de esta versión de mysql.
  • Extensión obsoleta a partir de PHP 5.5.0 y eliminada a partir de PHP 7.0.0.
  • El estado de desarrollo es solamente de mantenimiento para versiones PHP 5.x (hasta 2018).

Otros motivos para NO utilizar las funciones de mysql_*:

  • Carece de una interfaz Orientada a Objetos.
  • No admite consultas asincrónicas.
  • No admite declaraciones preparadas.
  • No admite procedimientos almacenados.
  • No admite sentencias multiples.
  • No admite transacciones.
  • No soporta todas las funcionalidades de MySQL

MySQLi (o MySQL mejorada)

  • Es la opción recomendada por MySQL.
  • Proporciona interfaz procedural y orientada a objetos (interfaz dual).
  • Amplio soporte de funcionalidades de los motores MySQL con versión 4.1.3 o superior.
  • Incluida en PHP desde la versión 5.0.
  • Estado de desarrollo activo.
  • Soporte para Declaraciones Preparadas.
  • Soporte para Múltiples Declaraciones.
  • Soporte para Transacciones.

PDO (Objetos de Datos de PHP)

  • Interfaz solo orientada a objetos.
  • Proporciona una capa de abstracción de bases de datos.
  • Soporte parcial de funcionalidades de los motores MySQL con versión 4.1.3 o superior.
  • Incluida en PHP desde la versión 5.1.
  • Estado de desarrollo activo.
  • Compatible con otros motores de bases de datos.

Mas información en:



Veamos pues como utilizar las diferentes extensiones para conectar con moteres de bases de datos MySQL.

MySQL (original)

Su uso está desaconsejado, esta extensión esta obsoleta. Sólo se debería usar en versiones PHP < 5.0

Ejemplo extraido de Ejemplo general de la extensión MySQL

<?php
// Conectar
$link = mysql_connect('mysql_host', 'mysql_user', 'mysql_password')
    or die('No se pudo conectar: ' . mysql_error());

// Seleccionando la base de datos
mysql_select_db('my_database') or die('No se pudo seleccionar la base de datos');

// Realizar una consulta MySQL
$query = 'SELECT * FROM my_table';
$result = mysql_query($query, $link) or die('Consulta fallida: ' . mysql_error());

// Imprimir los resultados en HTML
if (mysql_num_rows($result) > 0) {
    // Printing results in HTML
    echo "<table>";
    while ($line = mysql_fetch_array($result, MYSQL_ASSOC)) {
        echo "<tr>";
        foreach ($line as $col_value) {
            echo "<td>$col_value</td>";
        }
        echo "</tr>";
    }
    echo "</table>";
}
else{
    echo 'No se encontraron resultados';
}

// Liberar resultados
mysql_free_result($result);

// Cerrar la conexión
mysql_close($link);

MySQLi (o MySQL mejorada)

Estilo orientado a objetos

<?php
// Conectarse a y seleccionar una base de datos de MySQL llamada sakila
$mysqli = new mysqli('127.0.0.1', 'tu_usuario', 'tu_contraseña', 'sakila');

// comprobar si existe algun error
if ($mysqli->connect_errno) {
    echo "Error: Fallo al conectarse a MySQL debido a: \n";
    echo "Errno: " . $mysqli->connect_errno . "\n";
    echo "Error: " . $mysqli->connect_error . "\n";
    exit;
}

// Realizar una consulta SQL
$sql = "SELECT * FROM my_table";

// Ejecutar comprobar si existe algun error
if (!$resultado = $mysqli->query($sql)) {
    echo "Error: La ejecución de la consulta falló debido a: \n";
    echo "Query: " . $sql . "\n";
    echo "Errno: " . $mysqli->errno . "\n";
    echo "Error: " . $mysqli->error . "\n";
    exit;
}

if ($resultado->num_rows > 0){

    echo "<table>";
    while ($line = $resultado->fetch_assoc()) {
        echo "<tr>";
        foreach ($line as $col_value) {
            echo "<td>$col_value</td>";
        }
        echo "</tr>";
    }


}
else{
    echo 'No se encontraron resultados';
    exit;
}

// Liberar resultados
$resultado->free();

// Cerrar la conexión
$mysqli->close();

Consultas preparadas

<?php
// Conectarse a y seleccionar una base de datos de MySQL llamada sakila
$mysqli = new mysqli('127.0.0.1', 'tu_usuario', 'tu_contraseña', 'sakila');

// comprobar si existe algún error
if ($mysqli->connect_errno) {
    echo "Error: Fallo al conectarse a MySQL debido a: \n";
    echo "Errno: " . $mysqli->connect_errno . "\n";
    echo "Error: " . $mysqli->connect_error . "\n";
    exit;
}

// Creamos la consulta SQL
$sql = 'SELECT * FROM my_table WHERE id = ?';
// La preparamos
$stmt = $mysqli->prepare($sql);
// bindeamos los datos
$stmt->bind_param('i', 5 );
// Ejecutamos la consulta
$stmt->execute();
// Recuperamos los datos
$resultado = $stmt->get_result();

// comprobar si devolvio registros
if ($resultado->num_rows > 0){

    // Imprimir los resultados en HTML
    echo "<table>";
    while ($line = $resultado->fetch_assoc()) {
        echo "<tr>";
        foreach ($line as $col_value) {
            echo "<td>$col_value</td>";
        }
        echo "</tr>";
    }

}
else{
    echo 'No se encontraron resultados';
    exit;
}

// Liberar resultados
$resultado->free();

// Cerrar la conexión
$mysqli->close();

Estilo por procedimientos

<?php
// Conectarse a y seleccionar una base de datos de MySQL llamada sakila
$mysqli = mysqli_connect('127.0.0.1', 'tu_usuario', 'tu_contraseña', 'sakila');

// comprobar si existe algun error
if (mysqli_connect_errno()) {
    echo "Error: Fallo al conectarse a MySQL debido a: \n";
    echo "Errno: " . mysqli_connect_errno() . "\n";
    echo "Error: " . mysqli_connect_error() . "\n";
    exit;
}

// Creamos una consulta SQL
$sql = "SELECT * FROM my_table";

// Ejecutar comprobar si existe algun error
if (!$resultado = mysqli_query($mysqli, $sql)) {
    echo "Error: La ejecución de la consulta falló debido a: \n";
    echo "Query: " . $sql . "\n";
    echo "Errno: " . mysqli_connect_errno() . "\n";
    echo "Error: " . mysqli_connect_error() . "\n";
    exit;
}

if (mysqli_num_rows($resultado) > 0){

    echo "<table>";
    while ($line = mysqli_fetch_assoc($resultado)) {
        echo "<tr>";
        foreach ($line as $col_value) {
            echo "<td>$col_value</td>";
        }
        echo "</tr>";
    }


}
else{
    echo 'No se encontraron resultados';
    exit;
}

// Liberar resultados
mysqli_free_result($resultado);

// Cerrar la conexión
mysqli_close($mysqli);

Fijese que a diferencia de MySQL original en MySQLi, se selecciona la base de datos directamente al establecer la conexión y ademas el identificador de conexión es pasado como primer argumento en las funciones.

Mezcla de estilos

Según el manual, es posible mezclar los estilos sin mayor problema:

Es posible cambiar entre los estilos en cualquier momento. No se recomienda mezclar los dos estilos por razones de claridad y estilo de código.

PDO (Objetos de Datos de PHP)

<?php

// datos de conexión
$dsn = 'mysql:host=localhost;dbname=testdb';
$nombre_usuario = 'nombre_usuario';
$contrasena = 'contraseña';
$opciones = array(
    PDO::MYSQL_ATTR_INIT_COMMAND => 'SET NAMES utf8',
); 

// Conectarse a y seleccionar una base de datos de MySQL
$pdo = new PDO($dsn, $nombre_usuario, $contrasena, $opciones);

$sentencia = $pdo->prepare("SELECT * FROM my_table WHERE id = ?");

// bindear datos y ejecutar
if ( $sentencia->execute(array('mi_id')) ) {

    // Imprimir los resultados en HTML
    echo "<table>";
    while ($fila = $sentencia->fetch(PDO::FETCH_ASSOC)) {
        echo "<tr>";
        foreach ($line as $col_value) {
            echo "<td>$col_value</td>";
        }
        echo "</tr>";
    }
    echo "</tr>";
}

// Liberamos resultados
$resultado->free_result();

Notas

En contra de lo que muchos piensan la extenxión MySQL (original), no quedo obsoleta por problemas de seguridad, quedo obsoleta por que carecía de muchas funcionalidades que los motores MySQL habían incorporado, así como la falta de una interfaz orientada a objetos, recordemos que MySQL (original) se añadio en la versión 2.0 de PHP y ha llovido mucho desde entonces, MySQLi viene a solventar las carencias de la librería antigua.

En contraposición PDO esta pensada para facilitarnos la vida, ya que puede ser usado para trabajar con multiples bases de datos apenas cambiando unas líneas podemos utilizar cualquiera de los motores de base de datos soportados.

Mención a parte merece la inyección SQL, el uso de una extensión u otra por si solo no previene la inyección, se puede encontrar una guía básica para su prevención aquí (inyección SQL)

9
  • Buena respuesta, aunque discutible en algunos puntos: 1. Restar importancia a la seguridad con respecto a mysql_* no me parece justo y podría desorientar a los usuarios. La misma fue declarada obsoleta en gran parte por motivos de seguridad. 2. Mostrar código de conexión y funcionamiento de una función obsoleta me parece también desorientador. 3. En ninguna parte dice (al menos no lo he leído) que MySQLi sea la opción recomendada por PHP, de hecho, PDO es mucho mejor y con ventaja.
    – A. Cedano
    el 4 ago. 2017 a las 13:22
  • 1° No hay ninguna afirmación oficial y mucho menos en el manual de que mysql_* fuera declarada obsoleta por problemas de seguridad, es cierto que MySQLi/PDO proveen interfaces más robustas pero es gracias a que hacen uso de las nuevas funcionalidades de mysql entre otras. 2° Esto es relativo y discutible. Incluiré nota de sedaconsejado. 3° La recomendación es de mysql y aparce en la documentación de php, puedes revisar los Link. Para bases de datos MySQL, si no vas a utilizar otro motor, es recomendable mysqli en lugar de pdo, la razón es simple, soporta más funcionalidades de mysql que pdo.
    – Xerif
    el 4 ago. 2017 a las 13:47
  • Creo que el punto 1 se deduce por el simple hecho de que mysql_* no permite el uso de consultas preparadas y otros muchos riesgos de seguridad. El punto 2 no creo que sea discutible, el OP pregunta sobre cómo cambiar ese código y tu respuesta muestra cómo usar un código que él quiere abandonar. No es solamente desorientador, sino también ilógico. Y en cuanto al punto 3, para fines de claridad, sería bueno que pusieras la nota que indica que MySQLi es la opción recomendada y el enlace a la misma. Yo no he leído eso en ninguna parte.
    – A. Cedano
    el 4 ago. 2017 a las 13:58
  • 1
    ¿quieres decir que desde que 1997 hasta mínimo 2005 no había forma alguna de prevenir inyección sql en php? Si es así, es una falacia, hay múltiples formas de prevenir inyección, las sentencias preparadas no siempre son la mejor opción para todas las consultas, facilitan la vida eso si. Por otros muchos riesgos no se a que te refieres. 2° cuando quiero comparar X y Z para ver las diferencias lo mejor es observar X y Z simultáneamente, no sólo Z. 3° Puse el Link en la respuesta, no me sea flojo.
    – Xerif
    el 4 ago. 2017 a las 14:31
  • Calma amigo. El OP quiere abandonar mysql_* y tú respondes mostrando cómo se usa algo que él quiere abandonar. Tu respuesta como ya he dicho puede desorientar en varios puntos y hasta parece una apología de mysql_*. Sigo sin ver con claridad donde se dice que MySQLi es la extensión recomendada. No sé lo que ocurría entre 1997 y 2005, pero debía ser muy complicado tratar de evitar la inyección SQL con mysql_*. Imagino que un programador habilidoso tendría que montarse su propio sistema de seguridad, con filtros por todos lados y listas negras o listas blancas o ambas.
    – A. Cedano
    el 4 ago. 2017 a las 15:51

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.