Skip to main content
2 de 5
se eliminaron 26 caracteres en el cuerpo
D.Bulten
  • 6.6k
  • 2
  • 25
  • 42

Como te han mencionado, es mejor crear sentencias preparadas para proteger mejor nuestras sentencias contra ataques de inyección SQL

Los ataques de inyección SQL solo puede ocurrir si no formateamos las partes de nuestra consulta de manera invulnerable.

Un formato malicioso seria:

SELECT * FROM usuario WHERE nombre='Foo';

Un formato correcto seria:

SELECT * FROM usuario WHERE nombre='Foo\'; 

Fuente (Ingles):

Fuente SOes:

Ejemplo sentencias preparadas:

Código HTML:

Nota: el atributo name es nuestro identificador, para obtener nuestros datos segun caso por metodo POST o GET, en nuestro caso va ser por metodo POST.

<form action="php/registrar_cliente.php" method="POST">

   <div class="form-group">
      <label for="idnom">Nombre:</label>
      <input type="text" class="form-control" id="idnom" name="nnombre" REQUIRED placeholder="Ingresar Nombre">
   </div>

   <div class="form-group">
      <label for="idape">Apellidos:</label>
      <input type="text" class="form-control" id="idape" name="napellido" REQUIRED placeholder="Ingresar Apellidos">
   </div>

   <div class="form-group">
      <label for="idtdoc">Tipo de Documento:</label>
      <select class="form-control" id="idtdoc" name="ntdoc">
         <option value="DNI">DNI</option>
         <option value="RUC">RUC</option>
      </select>
   </div>

   <div class="form-group">
      <label for="iddoc">Documento:</label>
      <input type="text" class="form-control" id="iddoc" name="ndoc" REQUIRED placeholder="Numero de Documento">
    </div>

    <div class="row">
        <div class="form-group col-sm-4">
            <label for="iddir">Direccion:</label>
            <input type="text" class="form-control" id="iddir" name="ndireccion" REQUIRED placeholder="Ingresar Direccion">
         </div>

         <div class="form-group col-sm-8">
            <label for="idtelf">Telf/Movil:</label>
            <input type="text" class="form-control" id="idtelf" name="ntelf" REQUIRED placeholder="Ingresar Telf o Movil">
          </div>

     </div>    
     
     <input type="submit" name="registrar" class="btn btn-primary" value="Registrar">
     <button type="button" class="btn btn-default">Cancelar</button>

</form> 

Código PHP (php/registrar_cliente.php)

<?php

//Reseteo variables.
$msg = $nombre = $apellido = $tipo_doc = $documento = $direccion = $telf = NULL;

//Comprobación definición formulario, mediante el identificador input submit.    
if(isset($_POST['registrar'])){

    //Comprobamos que no haya ningun campo vacio del formulario.
    if (empty($_POST['nnombre']) && empty($_POST['napellido']) && empty($_POST['ndoc']) && empty($_POST['ndireccion']) && empty($_POST['ntelf'])) {
        //Mensaje Error.
        $msg = "Ups, todos los campos del formulario son obligatorios.";
    } else {
        //Verdadero, obtenemos datos.
        $nombre = $_POST['nnombre'] ?: '';
        $apellido = $_POST['napellido'] ?: '';  
        $tipo_doc = $_POST['ntdoc'] ?: '';
        $documento = $_POST['ndoc'] ?: '';
        $direccion = $_POST['ndireccion'] ?: '';
        $telf = $_POST['ntelf'] ?: '';
    }

    //Comprobamos que todos nuestros datos sean verdadero.
    if ($nombre && $apellido && $tipo_doc && $documento && $direccion && $telf) {

        //Requeremos conexión MySQL (¡Importante! Llamamos a nuestra conexión donde vamos a utilizarlo).
        require_once'conexion.php';
        
        //Sentencia preparada.
        $sql = $conn->prepare("INSERT INTO cliente (nombre,apellidos,tipo_doc,dni,direccion,telfmovil) VALUES (?,?,?,?,?,?)");      

        //Ligamos parametros marcadores (?,?,?,... es decir, $nombre,$apellido,$tipo_doc,...)
    
        //Especificación del tipo de caracteres:

        //i     la variable correspondiente es de tipo entero
        //d     la variable correspondiente es de tipo double
        //s     la variable correspondiente es de tipo string
        //b     la variable correspondiente es un blob y se envía en paquetes
        
        $sql->bind_param("ssssss",$nombre,$apellido,$tipo_doc,$documento,$direccion,$telf); 

        //Ejecutar sentencia
        $ejecutar = $sql->execute();
        
        //Comprobamos que se ejecutó correctamente.
        if (false===$ejecutar) { #Falso

            exit('execute() failed: ' . htmlspecialchars($sql->error));

        } else { #Verdadero.

            //Mensaje OK.
            $msg = ucfirst($nombre) . " tus datos se registraron con exito.";
        }

        //Cerrar sentencia.
        $sql->close();      

    }

}//Fin isset.

//Mensajes OK / ERRORES.
echo $msg;        

?>
D.Bulten
  • 6.6k
  • 2
  • 25
  • 42