Te voy a contestar a tu recompensa adicional, ya que la respuesta que esta aceptada está claro y correcto, el código `PHP` la he avanzado un poco, que es la parte que veo demasiado vulnerable, un caso del código actual, no veo lógico obtener directamente los datos desde el formulario sin ninguna comprobación en `PHP`. En este caso podríamos hacer antes una comprobación si está definida nuestro formulario y comprobaría que ningún campo (input) este vacío, y en caso contrario obtendría los datos. Para obtener los datos, utilizaría `mysqli_real_escape_string()`, cuando uno utiliza sentencias `mysqli`, en caso de usar sentencias `prepare()` no sería correcto usar dicha función. `mysqli_real_escape_string` — Escapa los caracteres especiales de una cadena para usarla en una sentencia SQL, tomando en cuenta el conjunto de caracteres actual de la conexión **Ejemplo**: $nombre = mysqli_real_escape_string($conn, $_POST['nnombre']); > **Nota:** podríamos hacer más comprobaciones si uno desea implementar más seguridad, como contar el mínimo y el máximo en caracteres de una cadena obtenido desde el formulario o algún `expresión regular PHP` para validar el documentos DNI, etc. Como te han mencionado, es mejor crear `sentencias preparadas` para proteger mejor nuestras sentencias contra ataques de `inyección SQL` Los ataques de `inyección SQL` solo puede ocurrir si no formateamos las partes de nuestra consulta de manera invulnerable. Un formato malicioso seria: SELECT * FROM usuario WHERE nombre='Foo'; Un formato correcto seria: SELECT * FROM usuario WHERE nombre='Foo\'; Fuente (Ingles): - [https://phpdelusions.net/sql_injection][1] Fuente SOes: - [https://es.stackoverflow.com/questions/36119/es-posible-protegerme-contra-una-inyeccion-sql-si-lo-paso-por-get/36149#36149][2] Ejemplo **sentencias preparadas**: ---------------------------------- Código HTML: > **Nota:** el atributo `name` es nuestro identificador, para obtener nuestros datos segun caso por metodo `POST` o `GET`, en nuestro caso va ser por metodo `POST`. <form action="php/registrar_cliente.php" method="POST"> <div class="form-group"> <label for="idnom">Nombre:</label> <input type="text" class="form-control" id="idnom" name="nnombre" REQUIRED placeholder="Ingresar Nombre"> </div> <div class="form-group"> <label for="idape">Apellidos:</label> <input type="text" class="form-control" id="idape" name="napellido" REQUIRED placeholder="Ingresar Apellidos"> </div> <div class="form-group"> <label for="idtdoc">Tipo de Documento:</label> <select class="form-control" id="idtdoc" name="ntdoc"> <option value="DNI">DNI</option> <option value="RUC">RUC</option> </select> </div> <div class="form-group"> <label for="iddoc">Documento:</label> <input type="text" class="form-control" id="iddoc" name="ndoc" REQUIRED placeholder="Numero de Documento"> </div> <div class="row"> <div class="form-group col-sm-4"> <label for="iddir">Direccion:</label> <input type="text" class="form-control" id="iddir" name="ndireccion" REQUIRED placeholder="Ingresar Direccion"> </div> <div class="form-group col-sm-8"> <label for="idtelf">Telf/Movil:</label> <input type="text" class="form-control" id="idtelf" name="ntelf" REQUIRED placeholder="Ingresar Telf o Movil"> </div> </div> <input type="submit" name="registrar" class="btn btn-primary" value="Registrar"> <button type="button" class="btn btn-default">Cancelar</button> </form> Código PHP (php/registrar_cliente.php) <?php //Reseteo variables. $msg = $nombre = $apellido = $tipo_doc = $documento = $direccion = $telf = NULL; //Comprobación definición formulario, mediante el identificador input submit. if(isset($_POST['registrar'])){ //Comprobamos que no haya ningun campo vacio del formulario. if (empty($_POST['nnombre']) && empty($_POST['napellido']) && empty($_POST['ndoc']) && empty($_POST['ndireccion']) && empty($_POST['ntelf'])) { //Mensaje Error. $msg = "Ups, todos los campos del formulario son obligatorios."; } else { //Verdadero, obtenemos datos. $nombre = $_POST['nnombre'] ?: ''; $apellido = $_POST['napellido'] ?: ''; $tipo_doc = $_POST['ntdoc'] ?: ''; $documento = $_POST['ndoc'] ?: ''; $direccion = $_POST['ndireccion'] ?: ''; $telf = $_POST['ntelf'] ?: ''; } //Comprobamos que todos nuestros datos sean verdadero. if ($nombre && $apellido && $tipo_doc && $documento && $direccion && $telf) { //Requeremos conexión MySQL (¡Importante! Llamamos a nuestra conexión donde vamos a utilizarlo). require_once'conexion.php'; //Sentencia preparada. $sql = $conn->prepare("INSERT INTO cliente (nombre,apellidos,tipo_doc,dni,direccion,telfmovil) VALUES (?,?,?,?,?,?)"); //Ligamos parametros marcadores (?,?,?,... es decir, $nombre,$apellido,$tipo_doc,...) //Especificación del tipo de caracteres: //i la variable correspondiente es de tipo entero //d la variable correspondiente es de tipo double //s la variable correspondiente es de tipo string //b la variable correspondiente es un blob y se envía en paquetes $sql->bind_param("ssssss",$nombre,$apellido,$tipo_doc,$documento,$direccion,$telf); //Ejecutar sentencia $ejecutar = $sql->execute(); //Comprobamos que se ejecutó correctamente. if (false===$ejecutar) { #Falso exit('execute() failed: ' . htmlspecialchars($sql->error)); } else { #Verdadero. //Mensaje OK. $msg = ucfirst($nombre) . " tus datos se registraron con exito."; } //Cerrar sentencia. $sql->close(); } }//Fin isset. //Mensajes OK / ERRORES. echo $msg; ?> [1]: https://phpdelusions.net/sql_injection [2]: https://es.stackoverflow.com/questions/36119/es-posible-protegerme-contra-una-inyeccion-sql-si-lo-paso-por-get/36149#36149