como es la consulta parametrizada php?

[[kayetano]]

Hola de nuevo

Empezado por dec

El "isset" puede evitar el "No se encontró el índice 'buscar'. ¿Que no?

Yo por lo general solo pongo ISSET() y si el usuario busca un espacio en blanco ... pues que lo busque.
De todas formas, y por rizar el rizo, a mi no me gustan las comparaciones con comillas vacias, yo suelo usar:

Código PHP:

include( "conexion.php" );
if ( !isset($_POST["buscar"]) || !strlen( trim( $_POST["buscar"] ) ) ) {
   echo "Debes indicar alguna palabra de búsqueda";
   // Aquí le redireccionas de nuevo al formulario.
}
else {
   // Procedimiento de búsqueda.
} 


La verdad es que no tengo muy clara la condición que hay que poner, si un AND, si un OR, si NEGADO, esta es la que yo veo más lógica.

[*Emilio*]

Todas las comentadas me parecen válidas, eso demuestra que hay mil formas de hacer una misma cosa. ¿diversidad?

De todas formas me llama la atención lo que comenta Kayetano

Empezado por kayetano

a mi no me gustan las comparaciones con comillas vacias

¿Qué tiene de malo?

[[kayetano]]

Hola

Empezado por emilio

¿Qué tiene de malo?

Nada de nada, simplemente que yo lo veo más claro y lo pongo como alternativa.

[Mick]

Solo comentar que se deberia procesar la variable $buscar con alguna
funcion como mysql_real_escape_string antes de pasarsela al query.

El codigo que muestras permite ataques por injeccion de sql, simplemente poniendo el comando adecuado en el campo de busqueda de esa pagina web cualquiera te podria borrar la base de datos entera.

Saludos

[roman]

Pero si la consulta es un SELECT, ¿cómo podría inyectarle algo que borre?

// Saludos

[*Emilio*]

Empezado por roman

Pero si la consulta es un SELECT, ¿cómo podría inyectarle algo que borre?

Entiendo que Mick se refiere a poder alcanzar privilegios y a continuación hacer el delete, lo cual no es fácil pero no imposible.

[[kayetano]]

Hola

Como poderse se pueden hacer muchas cosas, por ejemplo:
Tenemos el siguiente select:

Código PHP:

$sql = "SELECT * FROM eq_proveedores WHERE PROVEEDOR LIKE '%".$_POST['buscar']."%' ORDER BY PROV_ID"; 


Supongamos que me monto un form que llama a nuestro script y meto como valor de "buscar" el siguient texto

Código PHP:

$_POS['buscar'] = "' OR 1 OR like '"; 


Con esto podríamos obtener todos los proveedores, pero hay un gran problema se debe conocer la consulta y por lo general esto no sucede.
De esta misma forma se podría obtener información de las bases de datos y tablas con SHOW DATABASES, pero igualmente debemos conocer la estructura de la consulta y que el código permita desarrollar la consulta modificada..
El mayor problema que podemos tener es que se incluya una comilla simple en nuestra búsqueda con lo que probocaremos un error en la consulta.

Existen muchas funciones para filtrar los parametros mandados por formularios como pueden ser "AddSlashes" y "strip_tags" para evitar algún tipo de código HTML o PHP.