Como te han mencionado, es mejor crear sentencias preparadas
para proteger mejor nuestras sentencias contra ataques de inyección SQL
Los ataques de inyección SQL
solo puede ocurrir si no formateamos las partes de nuestra consulta de manera invulnerable.
Un formato malicioso seria:
SELECT * FROM usuario WHERE nombre='Foo';
Un formato correcto seria:
SELECT * FROM usuario WHERE nombre='Foo\';
Fuente (Ingles):
Fuente SOes:
Ejemplo sentencias preparadas:
Código HTML:
Nota: el atributo
name
es nuestro identificador, para obtener nuestros datos segun caso por metodoPOST
oGET
, en nuestro caso va ser por metodoPOST
.
<form action="php/registrar_cliente.php" method="POST">
<div class="form-group">
<label for="idnom">Nombre:</label>
<input type="text" class="form-control" id="idnom" name="nnombre" REQUIRED placeholder="Ingresar Nombre">
</div>
<div class="form-group">
<label for="idape">Apellidos:</label>
<input type="text" class="form-control" id="idape" name="napellido" REQUIRED placeholder="Ingresar Apellidos">
</div>
<div class="form-group">
<label for="idtdoc">Tipo de Documento:</label>
<select class="form-control" id="idtdoc" name="ntdoc">
<option value="DNI">DNI</option>
<option value="RUC">RUC</option>
</select>
</div>
<div class="form-group">
<label for="iddoc">Documento:</label>
<input type="text" class="form-control" id="iddoc" name="ndoc" REQUIRED placeholder="Numero de Documento">
</div>
<div class="row">
<div class="form-group col-sm-4">
<label for="iddir">Direccion:</label>
<input type="text" class="form-control" id="iddir" name="ndireccion" REQUIRED placeholder="Ingresar Direccion">
</div>
<div class="form-group col-sm-8">
<label for="idtelf">Telf/Movil:</label>
<input type="text" class="form-control" id="idtelf" name="ntelf" REQUIRED placeholder="Ingresar Telf o Movil">
</div>
</div>
<input type="submit" name="registrar" class="btn btn-primary" value="Registrar">
<button type="button" class="btn btn-default">Cancelar</button>
</form>
Código PHP (php/registrar_cliente.php)
<?php
//Reseteo variables.
$msg = $nombre = $apellido = $tipo_doc = $documento = $direccion = $telf = NULL;
//Comprobación definición formulario, mediante el identificador input submit.
if(isset($_POST['registrar'])){
//Comprobamos que no haya ningun campo vacio del formulario.
if (empty($_POST['nnombre']) && empty($_POST['napellido']) && empty($_POST['ndoc']) && empty($_POST['ndireccion']) && empty($_POST['ntelf'])) {
//Mensaje Error.
$msg = "Ups, todos los campos del formulario son obligatorios.";
} else {
//Verdadero, obtenemos datos.
$nombre = $_POST['nnombre'] ?: '';
$apellido = $_POST['napellido'] ?: '';
$tipo_doc = $_POST['ntdoc'] ?: '';
$documento = $_POST['ndoc'] ?: '';
$direccion = $_POST['ndireccion'] ?: '';
$telf = $_POST['ntelf'] ?: '';
}
//Comprobamos que todos nuestros datos sean verdadero.
if ($nombre && $apellido && $tipo_doc && $documento && $direccion && $telf) {
//Requeremos conexión MySQL (¡Importante! Llamamos a nuestra conexión donde vamos a utilizarlo).
require_once'conexion.php';
//Sentencia preparada.
$sql = $conn->prepare("INSERT INTO cliente (nombre,apellidos,tipo_doc,dni,direccion,telfmovil) VALUES (?,?,?,?,?,?)");
//Ligamos parametros marcadores (?,?,?,... es decir, $nombre,$apellido,$tipo_doc,...)
//Especificación del tipo de caracteres:
//i la variable correspondiente es de tipo entero
//d la variable correspondiente es de tipo double
//s la variable correspondiente es de tipo string
//b la variable correspondiente es un blob y se envía en paquetes
$sql->bind_param("ssssss",$nombre,$apellido,$tipo_doc,$documento,$direccion,$telf);
//Ejecutar sentencia
$ejecutar = $sql->execute();
//Comprobamos que se ejecutó correctamente.
if (false===$ejecutar) { #Falso
exit('execute() failed: ' . htmlspecialchars($sql->error));
} else { #Verdadero.
//Mensaje OK.
$msg = ucfirst($nombre) . " tus datos se registraron con exito.";
}
//Cerrar sentencia.
$sql->close();
}
}//Fin isset.
//Mensajes OK / ERRORES.
echo $msg;
?>