[SOLUCIONADO] Recuperar consulta y aplicar variables, después

[cdiazr]

Wenas, de nuevo tengo una pregunta que no está en los manuales jejeje, soy muy rebuscado.

Yo tengo un texto guardado en una base de datos. Ese texto es del tipo...

"Hola {$nombre}, tengo que comentarte algo, llamame al {$telf}."

Yo creía que guardándolo así, al cargar la variable $mensaje con ese texto desde la base de datos, se guardaría directamente con las variables $nombre, y $telf ya personalizadas. Pero no es así.

En fín, lo que pretendo conseguir es que al final, el usuario vea en su web el mensaje personalizado para él.

Ejemplo práctico (inservible jejeje, pero es como pensaba que sería):

Código PHP:

  //Cargo variables
$nombre = 'Juan';
$telf = 1234567890;

echo recuperarMensajedesdeBD();

function recuperarMensajedesdeBD() {
  global $conexion;
  $consulta = mysql_query('SELECT mensaje FROM mensajes WHERE id=1', $conexion);
 $mensaje = mysql_fetch_array($sonculta);
 return $consulta[0];
}  
   

Resultado: "Hola Juan, tengo que comentarte alg, llamame al 1234567890."

¿Cómo debo hacer para que eso funcione? (si es que se puede hacer claro)

[Maganius]

No estoy seguro que funcione pero proba guardando en la base de datos asi:

Código PHP:

'Hola $nombre, tengo que comentarte algo, llamame al $telf.'
 

De esta forma te va a guardar la variable en la base de datos.

[cdiazr]

Iniciado por Maganius

No estoy seguro que funcione pero proba guardando en la base de datos asi:

Código PHP:

'Hola $nombre, tengo que comentarte algo, llamame al $telf.'
 

De esta forma te va a guardar la variable en la base de datos.

Disculpa el retraso, no tengo internet en casa y por la red que estaba ayer se cayó hasta ahora...

No me funcionó como tu me indicas, aunque me diste la idea de probar también con las comillas y las variables con "{}", también entre "<>" y también usando la doble comilla (aunque sabia que no serviría de nada, pero con windows nunca se sabe).

En resumen: sigo igual...

¿no hay alguna función en la que le digas que aplique las variables a partir del símbolo "$" hasta el próximo "espacio"?

[pateketrueke]

cdiazr, por como te explicas parece que no has leído un manual siquiera, lo siguiente es totalmente correcto:

Código PHP:

$foo = 'bar';
$candy = "Una cadena que contiene: $foo";
 
echo $candy; // Una cadena que contiene: bar
 

El problema es que lo que obtienes de la base de datos no se puede tratar de esa forma, pues ahí sólo es texto plano y no una cadena de texto a nivel lenguaje.

Para conseguir lo que buscas debes reemplazar a mano, o bien, con alguna función:

Código PHP:

$foo = 'Una valor que no es interpolable por código PHP: ${ejemplo}';
 
echo $foo; // Una valor que no es interpolable por código PHP: ${ejemplo}
 
$candy = 'DOES NOTHING';
$bar = str_replace('${ejemplo}', $candy, $foo);
 
echo $bar; // Una valor que no es interpolable por código PHP: DOES NOTHING
 

¿Se entienda la idea?

[Italico76]

O...

Código PHP:

<?php
 
$foo = 'Una valor que no es interpolable por código PHP: $ejemplo';
 
// la guardo tal cual
$mysqli->query("INSERT INTO expr.. VALUES ($foo,...)";
 
// en otro momento la leo de DB 
 
$result = $mysqli->query("SELECT expr FROM tabla WHERE ...");
 
 
// suponiendo viene una sola fila:
$expresion = $result[0]->cadena;
$ejemplo = 'SI ES INTERPOLABLE!';
 
eval("\$str = \"$expresion\";");
echo $str;
 

O para resumir:

Código PHP:

<?php
 
$expresion = 'Un valor que no es interpolable por codigo PHP: $ejemplo';
$ejemplo = 'si es iterpolable!';
 
eval("\$str = \"$expresion\";");
echo $str;
 

RESULTADO:

Un valor que no es interpolable por codigo PHP: SI ES INTERPOLABLE!

[pateketrueke]

Eval is evil.

[Italico76]

Iniciado por pateketrueke

Eval is evil.

[NSD]

Se me ocurre otra variante que hace laburar un poco mas a la base de datos pero que no altera tanto tu código original y emula el efecto que quieres lograr:

Código PHP:

<?php
    //Cargo variables
    $nombre = 'Juan';
    $telf = 1234567890;
 
    echo recuperarMensajedesdeBD(get_defined_vars());
 
    function recuperarMensajedesdeBD($vars)
    {
        global $conexion;
 
        $field = "mensaje";
        foreach($vars as $key => $val)
            $field = 'REPLACE('.$field.', \'{$'.$key.'}\', \''.str_replace('\'', '\\\'', $val).'\')';
 
        $consulta = mysql_query("SELECT $field FROM mensajes WHERE id=1", $conexion);
        $mensaje = mysql_fetch_array($consulta);
        return $mensaje[0];
    }
 

Lo que a efectos practicos seria como si se estubiera interpolando, pero si tienes muchas variables en el ambito en que se llama a la funcion (en este caso global) el rendimiento bajaria en picada innesesariamente, por lo tanto podriamos optar por llamarla de forma optimizada asi:

Código PHP:

echo recuperarMensajedesdeBD(array("nombre" => $nombre, "telf"=> $telf));
 

En el caso anterior, es la base de datos la que realiza el trabajo pesado, y php igual esta haciendo un loop (el foreach), un reemplazo (el de sanear las comillas) y 3 concatenaciones, asi que es razonable pensar en sacarle el trabajo a la bd y pasarselo a php ya que no se va a perder mucho, mas bien se va a ganar en rendimiento.

Código PHP:

function recuperarMensajedesdeBD($vars)
    {
        global $conexion;
 
        $consulta = mysql_query("SELECT mensaje FROM mensajes WHERE id=1", $conexion);
        $mensaje = mysql_fetch_array($consulta, MYSQL_NUM);        
        
        foreach($vars as $key => $val)
            $mensaje[0] = str_replace('{$'.$key.'}', $val, $mensaje[0]);
 
        return $mensaje[0];
    }
 

[cdiazr]

Iniciado por NSD

Se me ocurre otra variante que hace laburar un poco mas a la base de datos pero que no altera tanto tu código original y emula el efecto que quieres lograr:...

Grácias por tu respuesta NSD, por desgracia no me han funcionado ninguna de las dos maneras que me comentaste:

Método 1:

Código PHP:

  //Cargo variables 
    $nombre = 'Juan'; 
    $telf = 1234567890; 
  
    echo recuperarMensajedesdeBD(get_defined_vars()); 
  
    function recuperarMensajedesdeBD($vars) 
    { 
        global $conexion; 
  
        $field = "mensaje"; 
        foreach($vars as $key => $val) 
            $field = 'REPLACE('.$field.', \'{$'.$key.'}\', \''.str_replace('\'', '\\\'', $val).'\')'; 
  
        $consulta = mysql_query("SELECT $field FROM mensajes WHERE id=1", $conexion); 
        $mensaje = mysql_fetch_array($consulta); 
        return $mensaje[0];  
   

Me salta el error "Warning: Invalid argument supplied for foreach()..."

Método 2:

Código PHP:

  function recuperarMensajedesdeBD($vars) 
    { 
        global $conexion; 
  
        $consulta = mysql_query("SELECT mensaje FROM mensajes WHERE id=1", $conexion); 
        $mensaje = mysql_fetch_array($consulta, MYSQL_NUM);         
         
        foreach($vars as $key => $val) 
            $mensaje[0] = str_replace('{$'.$key.'}', $val, $mensaje[0]); 
  
        return $mensaje[0]; 
    } 
 
echo recuperarMensajedesdeBD(array("nombre" => $nombre, "telf"=> $telf));  
   

Me dice que las variables $nombre y $telf no están definidas...

Sin embargo, la solución ofrecida por Italico76 ha sido la solución, no pensé que sería tan simple...

Iniciado por Italico76

Código PHP:

  $expresion = 'Un valor que no es interpolable por codigo PHP: $ejemplo'; 
$ejemplo = 'si es iterpolable!'; 
  
eval("\$str = \"$expresion\";"); 
echo $str;  
   

Así es como funcionó...

Código PHP:

  recuperarMensajedesdeBD(); 
 
function recuperarMensajedesdeBD() { 
  global $conexion; 
  $consulta = mysql_query('SELECT mensaje FROM mensajes WHERE id=1', $conexion); 
 $mensaje = mysql_fetch_array($sonculta); 
 interpolar($consulta[0]); 
} 
 
function interpolar($texto) { 
  $nombre = 'Juan'; 
  $telf = 1234567890; 
  eval("\$str = \"$texto\";"); 
  echo $str; 
}  
   

Grácias a ambos por vuestra ayuda!!!

[Italico76]

@cdiazr : recuerda que las funciones jamas deberian hacer un echo / print() de nada.. o sea.. deberias usar return()

Ademas debes parametrizar mejor a interpolar()

Código PHP:

<?php
 
function interpolar($expr,$datos){ 
  extract($datos);  
  eval("\$str = \"$expr\";"); 
  return $str; 
}  
 
$expresion = 'Nombre: $nombre\nTelefono:$telf\n'; 
 
echo interpolar($expresion,array('nombre'=>'Juan'
                                ,'telf'=>1234567890)
                                );
 

RESULTADO en consola:

Nombre: Juan
Telefono:1234567890

[Italico76]

Se puede simplificar mucho mas interpolar()

Código PHP:

<?php
 
function interpolar($expr,$datos){ 
  extract($datos);    
  return eval("return \"$expr\";"); 
}  
 
$expresion = 'Nombre: $nombre\nTelefono:$telf\n'; 
 
echo interpolar($expresion,array('nombre'=>'Juan'
                                ,'telf'=>1234567890)
                                );
 

eval() no devuelve nada excepto haya un return() como tal... se hace y nos evitamos una asignacion innecesaria

[pateketrueke]

Pues usar eval() sigue siendo una pésima practica, no hace falta para reemplazar dicha sintaxis.

Código PHP:

$foo = 'bar';
$candy = 'DOES $foo NOTHING';
 
echo str_replace('$foo', $foo, $candy); // DOES bar NOTHING
 

Claro habría que abstraer un poco más pero es la misma idea.

No usen eval() sólo porque "es más fácil".

[cdiazr]

Iniciado por Italico76

@cdiazr : recuerda que las funciones jamas deberian hacer un echo / print() de nada.. o sea..

Gracias por tu aporte aunque eso ya lo tenía en cuenta... te paso el código original tal y como lo tengo en realidad.

Código PHP:

  <?php 
function getAnunti($id) { echo "<div style='margin: 5px;' align='left'><b>Asunto:</b> ".getAnuntiDesc($id, 1)."<br><br>".getAnuntiDesc($id, 2)."</div>"; } 
 
function getAnuntiDesc($id, $field) { 
    global $conection; 
    global $db;     
    $sql = $db->send_query('SELECT * FROM anuncios WHERE a_id='.$id, $conection); 
    $anunti = $db->fetch_array($sql); 
    if(!$field == 0) { interpolar($anunti[$field]); } else { return $anunti[$field]; } 
} 
 
function interpolar($message) { 
    $skype = get('skype'); 
    $email = get('email'); 
    $user = get('user'); 
    $text = $message; 
    eval("\$string = \"$text\";"); 
    return $string; 
} 
 
function get($what) { 
    global $conection; 
    global $db; 
    $sql = $db->send_query('SELECT * FROM usuarios WHERE u_id='.$_SESSION['username'], $conection); 
    $data = $db->fetch_array($sql); 
    switch($what) 
    { 
        case 'user': 
            return $data[1]; break; 
        case 'skype': 
            return $data[6]; break; 
        case 'email': 
            return $data[5]; break; 
        default: 
            echo "No se han encontrado datos"; break;     
    } 
}?>   

[Italico76]

Iniciado por pateketrueke

Pues usar eval() sigue siendo una pésima practica, no hace falta para reemplazar dicha sintaxis.

No usen eval() sólo porque "es más fácil".

Pues estas mal @pateketrueke, eval() no esta mal usarla siempre y es 100% SEGURA siempre que lo que evalues no provenga en nada de un usuario (inyeccion via POST / GET que temina en una variable, etc)

En el caso concreto de este post es 100% SEGURA


Y si... esta la opcion de los reemplazos que propones tu usando funciones de PHP, que propone @NSD usando la funcion REPLACE() del motor de DDBB ... pero eval() per se no es mala y afirmar eso un error.

[cdiazr]

Iniciado por pateketrueke

Pues usar eval() sigue siendo una pésima practica, no hace falta para reemplazar dicha sintaxis.

Código PHP:

$foo = 'bar';
$candy = 'DOES $foo NOTHING';
 
echo str_replace('$foo', $foo, $candy); // DOES bar NOTHING
 

Claro habría que abstraer un poco más pero es la misma idea.

No usen eval() sólo porque "es más fácil".

Además de que estoy de acuerdo con Italico76 ya que me gusta el tema de seguridad, hacerlo como tu lo dices me supondría unas cuantas líneas más de código de las que tengo para poder adaptarlo bien. (sé que el código original de mi aplicación tiene unas líneas de más, ya tengo en mente modificarlo para reducir las lineas, pero eso en cuanto termine la aplicación).

[Eleazan]

Prueba rápida:

Código PHP:

  $expresion = 'Algo"';

eval("\$str = \"$expresion\";"); 

echo $str;  
   

Genera un parse error, y un notice (puesto que $str no se define), así, a bote pronto.

Y eso que solo ha sido una prueba!

Tampoco sabes 100% seguro si los datos de la bbdd son fiables o no, si están bien escapados o no, si incluyen caracteres que provoquen una salida inesperada....

Y, por cierto, segun el manual:

Código:

aution
The eval() language construct is very dangerous because it allows execution of arbitrary PHP code. Its use thus is discouraged. If you have carefully verified that there is no other option than to use this construct, pay special attention not to pass any user provided data into it without properly validating it beforehand.

[Italico76]

Iniciado por Eleazan

Tampoco sabes 100% seguro si los datos de la bbdd son fiables o no, si están bien escapados o no, si incluyen caracteres que provoquen una salida inesperada....

Ese punto es bueno y quizas a ello apuntaba tambien la critica de @pateketrueke pero... si tienes una injection en la DB es porque ya te entraron por algun "lado" (via peticion HTTP casi seguro)

[Eleazan]

Iniciado por Italico76

Ese punto es bueno y quizas a ello apuntaba tambien la critica de @pateketrueke pero... si tienes una injection en la DB es porque ya te entraron por algun "lado" (via peticion HTTP casi seguro)

Bueno, puestos a q te hayan entrado (o hayas dejado un campo mal validado... o el origen de la bbdd sea malo!)... pq no evitar males mayores?

En este caso es ejemplo es una chorrada. Pero podria provocar más daños aún

[pateketrueke]

Yo sólo he dicho que es mala practica, no estoy hablando de seguridad ni nada por el estilo.

Lo único que es claro es que "por ahorrarse" unas lineas al usar eval() no supone para nada una solución estable ni mucho menos.

Dejando de lado los problemas de seguridad usar eval() analiza código real, y el problema en ningún momento supone análisis de ese tipo, es texto y debería ser tratado como texto y no como código.

En resumen, usar eval() por cualquier excusa habla mal del desarrollador.

[Italico76]

Cierto... me voy a retractar

Chicos, no usen eval() !

[cdiazr]

Bueno, a mi no me importa, ni siquiera he probado con la solución de petetreke ya que con la de Italico76 me ha funcionado a la primera así que como es solo para una web de clasificados, no para un gobierno me quedo con eval y me da igual que me llamen mal programador... ¿funciona, verdad? pues listo!

[pateketrueke]

Iniciado por cdiazr

[...] me da igual que me llamen mal programador... ¿funciona, verdad? pues listo!

Aún así sea el trabajo de menor importancia en el mundo deberías esforzarte para hacer siempre lo mejor.

Así como hablas solo denota tu poca capacidad de ser responsable.

Vaya persona con pésimos ideales.

[hhs]

+1 Pateketrueke excelente observación

[NSD]

así que como es solo para una web de clasificados, no para un gobierno

Hablando asi, dudo que te contraten para hacer algo mas que una web de clasificados...

Ademas, el lenguaje tiene funciones para realizar estas cosas como printf o vprintf seria cuestion de que tu te adaptes a su funcionamiento, no hay necesidad de reinventar la rueda ni de matar moscas a cañonazos.

Código PHP:

<?php
    vprintf('Nombre: %s<br>Telefono:%d<br>', array('Juan', 1234567890));
    printf('Nombre: %s<br>Telefono:%d<br>', 'Juan', 1234567890);