Skip to main content
3 de 5
se añadieron 1213 caracteres en el cuerpo
D.Bulten
  • 6.6k
  • 2
  • 25
  • 42

Te voy a contestar a tu recompensa adicional, ya que la respuesta que esta aceptada está claro y correcto, el código PHP la he avanzado un poco, que es la parte que veo demasiado vulnerable, un caso del código actual, no veo lógico obtener directamente los datos desde el formulario sin ninguna comprobación en PHP.

En este caso podríamos hacer antes una comprobación si está definida nuestro formulario y comprobaría que ningún campo (input) este vacío, y en caso contrario obtendría los datos.

Para obtener los datos, utilizaría mysqli_real_escape_string(), cuando uno utiliza sentencias mysqli, en caso de usar sentencias prepare() no sería correcto usar dicha función.

mysqli_real_escape_string — Escapa los caracteres especiales de una cadena para usarla en una sentencia SQL, tomando en cuenta el conjunto de caracteres actual de la conexión

Ejemplo:

$nombre = mysqli_real_escape_string($conn, $_POST['nnombre']);

Nota: podríamos hacer más comprobaciones si uno desea implementar más seguridad, como contar el mínimo y el máximo en caracteres de una cadena obtenido desde el formulario o algún expresión regular PHP para validar el documentos DNI, etc.

Como te han mencionado, es mejor crear sentencias preparadas para proteger mejor nuestras sentencias contra ataques de inyección SQL

Los ataques de inyección SQL solo puede ocurrir si no formateamos las partes de nuestra consulta de manera invulnerable.

Un formato malicioso seria:

SELECT * FROM usuario WHERE nombre='Foo';

Un formato correcto seria:

SELECT * FROM usuario WHERE nombre='Foo\'; 

Fuente (Ingles):

Fuente SOes:

Ejemplo sentencias preparadas:

Código HTML:

Nota: el atributo name es nuestro identificador, para obtener nuestros datos segun caso por metodo POST o GET, en nuestro caso va ser por metodo POST.

<form action="php/registrar_cliente.php" method="POST">

   <div class="form-group">
      <label for="idnom">Nombre:</label>
      <input type="text" class="form-control" id="idnom" name="nnombre" REQUIRED placeholder="Ingresar Nombre">
   </div>

   <div class="form-group">
      <label for="idape">Apellidos:</label>
      <input type="text" class="form-control" id="idape" name="napellido" REQUIRED placeholder="Ingresar Apellidos">
   </div>

   <div class="form-group">
      <label for="idtdoc">Tipo de Documento:</label>
      <select class="form-control" id="idtdoc" name="ntdoc">
         <option value="DNI">DNI</option>
         <option value="RUC">RUC</option>
      </select>
   </div>

   <div class="form-group">
      <label for="iddoc">Documento:</label>
      <input type="text" class="form-control" id="iddoc" name="ndoc" REQUIRED placeholder="Numero de Documento">
    </div>

    <div class="row">
        <div class="form-group col-sm-4">
            <label for="iddir">Direccion:</label>
            <input type="text" class="form-control" id="iddir" name="ndireccion" REQUIRED placeholder="Ingresar Direccion">
         </div>

         <div class="form-group col-sm-8">
            <label for="idtelf">Telf/Movil:</label>
            <input type="text" class="form-control" id="idtelf" name="ntelf" REQUIRED placeholder="Ingresar Telf o Movil">
          </div>

     </div>    
     
     <input type="submit" name="registrar" class="btn btn-primary" value="Registrar">
     <button type="button" class="btn btn-default">Cancelar</button>

</form> 

Código PHP (php/registrar_cliente.php)

<?php

//Reseteo variables.
$msg = $nombre = $apellido = $tipo_doc = $documento = $direccion = $telf = NULL;

//Comprobación definición formulario, mediante el identificador input submit.    
if(isset($_POST['registrar'])){

    //Comprobamos que no haya ningun campo vacio del formulario.
    if (empty($_POST['nnombre']) && empty($_POST['napellido']) && empty($_POST['ndoc']) && empty($_POST['ndireccion']) && empty($_POST['ntelf'])) {
        //Mensaje Error.
        $msg = "Ups, todos los campos del formulario son obligatorios.";
    } else {
        //Verdadero, obtenemos datos.
        $nombre = $_POST['nnombre'] ?: '';
        $apellido = $_POST['napellido'] ?: '';  
        $tipo_doc = $_POST['ntdoc'] ?: '';
        $documento = $_POST['ndoc'] ?: '';
        $direccion = $_POST['ndireccion'] ?: '';
        $telf = $_POST['ntelf'] ?: '';
    }

    //Comprobamos que todos nuestros datos sean verdadero.
    if ($nombre && $apellido && $tipo_doc && $documento && $direccion && $telf) {

        //Requeremos conexión MySQL (¡Importante! Llamamos a nuestra conexión donde vamos a utilizarlo).
        require_once'conexion.php';
        
        //Sentencia preparada.
        $sql = $conn->prepare("INSERT INTO cliente (nombre,apellidos,tipo_doc,dni,direccion,telfmovil) VALUES (?,?,?,?,?,?)");      

        //Ligamos parametros marcadores (?,?,?,... es decir, $nombre,$apellido,$tipo_doc,...)
    
        //Especificación del tipo de caracteres:

        //i     la variable correspondiente es de tipo entero
        //d     la variable correspondiente es de tipo double
        //s     la variable correspondiente es de tipo string
        //b     la variable correspondiente es un blob y se envía en paquetes
        
        $sql->bind_param("ssssss",$nombre,$apellido,$tipo_doc,$documento,$direccion,$telf); 

        //Ejecutar sentencia
        $ejecutar = $sql->execute();
        
        //Comprobamos que se ejecutó correctamente.
        if (false===$ejecutar) { #Falso

            exit('execute() failed: ' . htmlspecialchars($sql->error));

        } else { #Verdadero.

            //Mensaje OK.
            $msg = ucfirst($nombre) . " tus datos se registraron con exito.";
        }

        //Cerrar sentencia.
        $sql->close();      

    }

}//Fin isset.

//Mensajes OK / ERRORES.
echo $msg;        

?>
D.Bulten
  • 6.6k
  • 2
  • 25
  • 42