[SOLUCIONADO] PHP OO ¿Cómo Elimanar el uso de la comilla?

[Chijt]

Hola amigos, disculpen si el tema es duplicado; es la primera vez que publico.
Mi pregunta es sobre lo siguiente: he creado una página utilizando php y mysqli y al consultarlo tendría que ser de la siguiente manera index.php?id=1 pero como evitar que alguien lo modifique de la siguiente manera index.php?id=1' ya que al agregar la comilla genera un error y mi intención es evitar ese error.
He buscado información y no he encontrado nada, si alguien me puede ayudar se lo agradecería.

[pateketrueke]

ya que al agregar la comilla genera un error y mi intención es evitar ese error.

Eso es porque al momento de hacer tus consultas no tienes cuidado y no escapas apropiadamente los datos, ¿o exactamente cómo haces las cosas?

La otra, es que siendo un valor numérico le hagas type-casting para forzar el valor y evitar posibles caracteres errados:

Código PHP:

$x = "1'";
$valid_x = (int) $x; // 1
 

Por favor, investiga acerca de SQL-Injection en el foro, hay muchos temas que hablan de lo mismo: ya que se trata de algo habitual y bien conocido.

[Chijt]

Soy nuevo en mysql y php, y por más que he leído no podido comprender bien como evitar la famosa "comilla", ¿Cómo sería entonces la implementación de Type-Casting?
Yo estoy llamando la información a la base de datos con el método GET es decir mi código esta de la siguiente manera:

Código PHP:

   $id=$_GET['estudios']; 
    $query="SELECT * FROM metadatos WHERE idmeta=" . $id; 
    $resultado=$mysqli->query($query);  
   

En el navegador la url sería de la siguiente manera www.ejemplo.com/index.php?estudios=1
la cuestión es evitar cuando alguien ponga en el navegador
www.ejemplo.com/index.php?estudios=1' agregando la ( ' ) y que salga un error de mysql.
Disculpen por la molestia.

[chronos682]

Siempre que vayas a hacer una consulta a la BD escapa los caracteres que podrían ocasionar errores, problemas o ataques de inyección. Para eso mysqli dispone de una función específica. Lee esto.

[Chijt]

Muchas gracias por la ayuda, ya resolví el problema con las comillas, pero después me encontré con otro problema y es que por ejemplo yo cuento con un archivo llamado perfil.php y se consulta de la siguiente manera perfil.php?id=1 pero por ejemplo cuando alguien lo modifica y pone solo perfil.php? o perfil.php?cualquier letra, lo que hago es incluir un archivo de error si el link no cumple con los requisitos. Ahora al hacer esto me sale un pequeño error de "Notice: Undefined variable" lo único que se me ocurrió es esconder ese error pero se que no es correcto me muestra bien el include de error y todo, lo único que arriba del contenido me sale ese error.

[chronos682]

Eso es porque intentas usar una variable que no existe, en este caso al omitir id en la url se produciría ese error. Siempre debes usar isset para saber si una variable está definida o no antes de usarla.

[Chijt]

Muchas gracias a todos ya todo fue solucionando.
Solo una ultima pregunta, ¿Qué opinan de este código?
¿Será inseguro?

Código PHP:

  if(isset($iduser)){ 
$ssql = "SELECT * FROM datos WHERE iduser=" . $iduser; 
} 
if(isset($ssql)){ 
$resultado = $mysqli->query($ssql); 
} 
if(empty($resultado)){ 
echo "<div id=\"contenedor\"><h1>no existe ninguna fila con este nombre</h1></div>"; 
}else{ 
    include("scripts/table_celula/num_rows.php"); 
} 
if(isset($numrows)){ 
   if ($numrows>0){ 
    while($fila=$resultado->fetch_object()){ 
       include("scripts/table_celula/html.php"); 
    } 
 } 
} 
if(isset($numrows)){ 
   if($iduser>$numrows){ 
  echo "<div id=\"contenedor\"><h1>no existe ninguna fila con este id</h1></div>"; 
   } 
}else{ 
   include("scripts/index.php"); 
}