1

Hola a todos soy nuevo en PHP, agradecería me explicaran este código que encontré para extraer la información de un form en html e insertarla en una base de datos por medio de PHP, solo cambie parámetros el único cambio que hice fue agregarle el bindvalue, porque escuche que sirve para prevenir la inyección sql, funciona pero me gustaría saber si es seguro para implementarlo en una empresa. Gracias a esta comunidad por su paciencia ha.

                <?php
// Get POST data

$cliente = ($_POST['cliente']);
$nombre_contacto= ($_POST['nombre_contacto']);
$email_comprador = ($_POST['email_comprador']);
$email_calidad = ($_POST['email_calidad']);

try {
    // Connect to db

    include_once 'resource/Database.php';


    // Set SQL
    $sql = 'INSERT INTO clientes (cliente, nombre_contacto, email_comprador, email_calidad) VALUES (:cliente, :nombre_contacto, :email_comprador, :email_calidad)';
    // Prepare query
    $query = $db->prepare($sql);
    $query->bindValue(":cliente",$cliente);
$query->bindValue(":nombre_contacto",$nombre_contacto);
    $query->bindValue(":email_comprador",$email_comprador);
$query->bindValue(":email_calidad",$email_calidad);

    // Execute query
    $query->execute(array(':cliente' => $cliente, ':nombre_contacto' => $nombre_contacto, ':email_comprador' => $email_comprador, ':email_calidad' => $email_calidad));
} catch (PDOException $e) {
    echo 'Error: ' . $e->getMessage();
}





?>

Por cierto no coloque este codigo y aun asi me inserta los datos deberia ponerselo?

if(isset($_POST["submit"])){
2
  • 1
    Quizás podrás encontrar tu respuesta aquí: es.stackoverflow.com/questions/18232/… y tu segunda duda if(isset($_POST["submit"])){ si que lo implementaría, ya que estas diciendo si está definido tu formulario y no es NULL insértame los datos en caso contrario no entra en tu bucle if. Saludos.
    – D.Bulten
    Commented el 12 ago. 2017 a las 20:28
  • Tu código es seguro. Pero debes saber que en PDO puedes pasar los valores en el execute, mediante un array... tal y como lo estás haciendo: $query->execute(array(':cliente' => $cliente, ':nombre_contacto' => $nombre_contacto, ':email_comprador' => $email_comprador, ':email_calidad' => $email_calidad));, haciendo esto, los bindValue no son necesarios y el código sigue siendo seguro, porque la prevención contra la Inyección SQL lo que te dice es que no pases variables externas en la consulta misma, sino aparte. En cuanto al isset, se recomienda tener control de la variables.
    – A. Cedano
    Commented el 5 nov. 2017 a las 15:31

1 respuesta 1

0

el código if(isset($_POST["submit"])){

Indica que solo se pueda acceder al archivo o función, si ha sido mediante un POST Request, es decir que si alguien intenta acceder "facilmente" no podría, no al menos por un GET Request, por lo tanto es importante poner esa línea.

Además podrías usar http://php.net/manual/es/pdo.quote.php si querés un poco mas de seguridad.

Y leer la diferencia: PHP: ¿Cuál es la diferencia entre bindParam() y bindValue() en PDO?

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.