4

Estoy haciendo una página de mensajes en PHP y MySQL, tengo una tabla llamada usuarios con los campos id, user, edad, pais y ciudad.

Me gustaría que el usuario pudiese buscar otros usuarios según ciertos parámetros, como por ejemplo la edad; para ello tengo el siguiente formulario:

<form action="search.php" method="post">
        <label>Search By: </label> <br>
    <input type="text" value="" name="usernam" placeholder="Username"><br>
    <input type="number" value="" name="age" placeholder="Age" min="10" max="150"><br>
    <input type="text" value="" name="country" placeholder="country"><br>
    <input type="text" value="" name="city" placeholder="city"> <br><br>
    <input id="" type="submit" value="Search" name="search"></form>

Y luego el siguiente código PHP:

if(isset($_POST['search'])) {
   $usernam = $_POST['usernam'];
   $age = $_POST['age'];
   $country = $_POST['country'];
   $city = $_POST['city'];
 }

Me falta hacer la consulta SQL para obtener los datos, pero no sé cómo podría conseguir que si el usuario no introduce todos parámetros (por ejemplo introduce solo los campos país y ciudad) que la consulta ignore los campos que están en blanco, que en este ejemplo serían usuario y edad.

¿Cómo podría realizar esta consulta?

15
  • 1
    ¿Usas PDO o mysqli? el 16 ago. 2017 a las 14:24
  • @OscarGarcia te refieres por su vulnerabilidad de datos? o para responder? el 16 ago. 2017 a las 14:25
  • Es para responder, no quiero programar en un tipo y luego rehacer el código de nuevo para que lo puedas usar. el 16 ago. 2017 a las 14:26
  • 1
    Estoy utilizando PDO @OscarGarcia
    – kalia
    el 16 ago. 2017 a las 14:27
  • 1
    Ya te he redactado la respuesta con tres ejemplos diferentes, una búsqueda fulltext, una búsqueda de texto contenido dentro de un campo y otra búsqueda comparando un valor entero. Espero que te sea de ayuda :) Todo está ejecutado como consulta preparada y es inmune a ataques de inyección SQL (el resto de ejemplos que te han puesto son vulnerables). el 16 ago. 2017 a las 14:56

3 respuestas 3

9

Usando PDO podrías implementar tu búsqueda de la siguiente manera:

if(isset($_POST['search'])) {
  /* Consulta raíz */
  $sql = 'SELECT * FROM usuarios';
  /* Aquí almacenaremos los WHERE que se unirán con un "AND" */
  $where = [];
  /* Por ahora no tenemos ningún campo de búsqueda para PDO */
  $campos = [];
  /* Si queremos una búsqueda de usuario preparamos todo para hacerla */
  if (!empty($_POST['usernam'])) {
    /* Agregamos al WHERE la comparación */
    array_push($where, 'INSTR(LOWER(:usernam), LOWER(user)) > 0');
    /* Preparamos los datos para la variable preparada */
    $campos[':usernam'] = [
      'valor' => $_POST['usernam'],
      'tipo' => \PDO::PARAM_STR,
    ];
  }
  /* Hacemos lo mismo con el resto de campos del formulario */
  if (!empty($_POST['age'])) {
    array_push($where, 'edad = :age');
    $campos[':age'] = [
      'valor' => $_POST['age'],
      'tipo' => \PDO::PARAM_INT,
    ];
  }
  if (!empty($_POST['country'])) {
    array_push($where, 'MATCH (pais) AGAINST (:country IN NATURAL LANGUAGE MODE)');
    $campos[':country'] = [
      'valor' => $_POST['country'],
      'tipo' => \PDO::PARAM_STR,
    ];
  }
  if (!empty($_POST['city'])) {
    array_push($where, 'MATCH (ciudad) AGAINST (:city IN NATURAL LANGUAGE MODE)');
    $campos[':city'] = [
      'valor' => $_POST['city'],
      'tipo' => \PDO::PARAM_STR,
    ];
  }
  /* Si tenemos cláusulas WHERE las unimos */
  if (!empty($where)) {
    $sql .= ' WHERE ' . implode(' AND ', $where);
  }
  $consulta = $pdo->prepare($sql);
  /* Si no hay elementos en $campos no se ejecutará este bucle */
  foreach($campos as $clave => $valores) {
    $consulta->bindParam($clave, $valores['valor'], $valores['tipo']);
  }
  $resultado = $consulta->execute();
}

En el código hay comentarios que explican el funcionamiento paso a paso.

He usado búsquedas fulltext en algunos campos (por ponerte un ejemplo de uso), una comparación numérica y también la función INSTR junto con LOWER para que la comparación no sea sensible a mayúsculas/minúsculas.

Para hacer uso de búsquedas fulltext optimizadas hay que modificar el esquema de la tabla ejecutando:

ALTER TABLE usuarios ADD FULLTEXT (pais, ciudad)

Las búsquedas fulltext tienen muchas ventajas, como que considera "látigo" y "latigo" como palabras iguales (translitera al comparar, o mejor dicho, normaliza al indexar) y es insensible a mayúsculas/minúsculas.

2
  • 2
    +1 por escribir una respuesta basada en código seguro, contra la Inyección SQL.
    – A. Cedano
    el 16 ago. 2017 a las 15:41
  • 1
    ¡Gracias! Iba a usar un user LIKE CONCAT('%', :usernam, '%'), pero al final me decanté por un INSTR/LOWER para dar variedad en la respuesta :) el 16 ago. 2017 a las 15:51
2

Para estos casos tendrias que utlizar el operador SQL LIKE:

El operador LIKE se utiliza en una cláusula WHERE para buscar un patrón especificado en una columna.

Hay dos comodines utilizados junto con el operador LIKE:

% - El signo de porcentaje representa cero, uno o varios caracteres
_ - El subrayado representa un solo carácter

Entonces tu consulta seria algo asi:

"Select * from usuarios where user like '%'$usernam'%' and edad like '%'$age'%' and pais like '%'$country'%'and ciudad like '%'$city'%'"

Esto te devolvera resultados con los parametros que hayan puesto, no importa si solo an puesto un solo parametro o todos

1
  • Y dale con escribir código vulnerable. Has escrito ese tipo de consultas que le encantan a los hackers. -1 porque PDO existe, entre otras cosas, para que no escribas jamás consultas como estas.
    – A. Cedano
    el 16 ago. 2017 a las 15:40
1

Una opción seria validar si las variables tienen un valor y de acuerdo a estos resultados ir armando la consulta:
Aquí un ejemplo de como podría ser:

<?php 
   //evitamos que el usuario envie espacios en blanco
    $usernam = trim($_POST['usernam']);
    $age = trim($_POST['age']);
    $country = trim($_POST['country']);
    $city = trim($_POST['city']);
    if ($usernam =="" AND $age =="" AND $country =="" AND $city =="" AND) {
        $sql="SELECT * FROM nombreTabla";
        ......//demas codigo
    }else{
        $sql='SELECT * FROM nombreTabla WHERE';
        if ($usernam != "") {
            $sql=' user = "$usernam" AND';
        }if ($age != "") {
            $sql=' edad = $age AND';
        }if ($country != "") {
            $sql=' pais = "$country" AND';
        }if ($city != "") {
            $sql=' ciudad = "$city" AND';
        }
        $sqlFinal=trim($sql, 'AND');//quitamos el ultim AND para evitar error
        .....//demas codigo
    }
 ?>

lo puedes adaptar a tu conveniencia.

Esta forma es muy practica pero puedes correr el riesgo de Sql Inyection

6
  • puedo mejorar un poco tu pregunta? el 16 ago. 2017 a las 14:45
  • @JackNavaRow si no tengo ningun problema
    – Kevin
    el 16 ago. 2017 a las 14:46
  • Porque quitarle tiempo al servidor con este tipo de if? si lo puedes hacer en la BD con una sola sentencia el 16 ago. 2017 a las 14:49
  • Recuerden que son inpust y no siempre lo van a poner a corde a la BD es decir si se llama luis lo puede poner lui y le sale luis usando LIKE encambio le sale error si lo compara defrente el 16 ago. 2017 a las 14:52
  • 1
    @IvanMoreFlores, El op no menciona esa posibilidad, ademas solo es un aporte cada quien puede ver si le es apto o no en su proyecto
    – Kevin
    el 16 ago. 2017 a las 14:57

Tu Respuesta

Al pulsar en “Publica tu respuesta”, muestras tu consentimiento a nuestros términos de servicio, política de privacidad y política de cookies

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.