si no es entero no funciona el script

[elcapitolio]

Les muestro el codigo que tengo...
todo funciona bien cuando
$_POST['descripcion'] = 4; // a un numero
pero si
$_POST['descripcion'] = "Texto y no numero"; // me marca error

asi
Unknown column 'asd' in 'field list'

Código PHP:

$cotizacion_no=$row_cotizaid['id']+1;
$sub=array_sum($_POST['precio']);
$total=$sub*1.16;
$iva=$total-$sub;
if ((isset($_POST["MM_insert"])) && ($_POST["MM_insert"] == "form1")) {
  $insertSQL = sprintf("INSERT INTO cotizacion (nombre, fecha, email, razon_social, factura_a, telefono, cotizacion, subtotal, iva, total) VALUES (%s, %s, %s, %s, %s, %s, %s, %s, %s, %s)",
                       GetSQLValueString($_POST['nombre'], "text"),
                       GetSQLValueString($_POST['fecha'], "date"),
                       GetSQLValueString($_POST['email'], "text"),
                       GetSQLValueString($_POST['razon_social'], "text"),
                       GetSQLValueString($_POST['factura_a'], "text"),
                       GetSQLValueString($_POST['telefono'], "text"),
                       GetSQLValueString($cotizacion_no, "text"),
                       GetSQLValueString($sub, "text"),
                       GetSQLValueString($iva, "text"),
                       GetSQLValueString($total, "text"));
 
$cantidad=$_POST['cantidad'];
$descripcion=$_POST['descripcion'];
$precio=$_POST['precio'];
 
$result = count($_POST['cantidad'])-1;
$i = 0;
while($i <= $result) {
 
$sql2="INSERT INTO cotizacion_detail VALUES (NULL, $cantidad[$i], $descripcion[$i], $precio[$i], $cotizacion_no);";
mysql_select_db($database_noticias, $noticias);
  $Result2 = mysql_query($sql2, $noticias) or die(mysql_error());
 
  ++$i; // Esta instrucción hace que el valor de $i se incremente en 1
}
 
  mysql_select_db($database_noticias, $noticias);
  $Result1 = mysql_query($insertSQL, $noticias) or die(mysql_error());
}
 

[Henkka]

Me imagino que GetSQLValueString() es una función que sirve para sanitizar las entradas.

Al no usarla para el INSERT INTO cotizacion_detail dejás esa parte vulnerable a inyecciones SQL.

Si en el formulario ingresases números, lo que le llega a MySQL es lo siguiente:

Código MySQL:

INSERT INTO cotizacion_detail VALUES (NULL, 3, 4, 5, 6);
 

Que es totalmente válido, en MySQL los integers no necesitan encerrarse entre comillas. Si descripcion fuese alfanumérica, llegaría

Código MySQL:

INSERT INTO cotizacion_detail VALUES (NULL, 3, 4, asd, 6);
 

Como no se puede dejar un literal sin comillas, no lo interpreta como un valor, sino como una columna de otro resultset (por si trabajases con SELECT anidados o uniones).

La respuesta es encerrar las variables con comillas simples en el código, pero esto sigue dejando el script vulnerable a inyecciones SQL, así que también las tendrías que pasar por tu función de sanitización.

Podrías considerar usar alguna capa de abstracción como PDO, que se encarga de ayudarte a preparar las consultas.

http://web2development.blogspot.com/2007/04/accesando-nuestra-base-de-datos-con-pdo.html



Para que entiendas mejor, acá te doy un ejemplo. Primero intento insertar foo sin comillas, y luego con

Código MySQL:

mysql> CREATE TABLE tablaejemplo (campo VARCHAR(5) NOT NULL);
Query OK, 0 rows affected (0.00 sec)
 
mysql> INSERT INTO tablaejemplo VALUES (foo);
ERROR 1054 (42S22): Unknown column 'foo' in 'field list'
 
mysql> SELECT * FROM tablaejemplo;
Empty set (0.00 sec)
 
mysql> INSERT INTO tablaejemplo VALUES ('foo');
Query OK, 1 row affected (0.00 sec)
 
mysql> SELECT * FROM tablaejemplo;
+-------+
| campo |
+-------+
| foo   |
+-------+
1 row in set (0.00 sec)
 

Si el valor fuese numérico, funcionaría de ambas maneras

Código MySQL:

mysql> INSERT INTO tablaejemplo VALUES (1);
Query OK, 1 row affected (0.00 sec)
 
mysql> SELECT * FROM tablaejemplo;
+-------+
| campo |
+-------+
| 1     |
+-------+
1 row in set (0.00 sec)
 
mysql> INSERT INTO tablaejemplo VALUES ('7');
Query OK, 1 row affected (0.00 sec)
 
mysql> SELECT * FROM tablaejemplo;
+-------+
| campo |
+-------+
| 1     |
| 7     |
+-------+
2 rows in set (0.00 sec)
 

Incluso si el tipo de datos fuese numérico, se le podría pasar un número en formato literal y MySQL lo convertiría al vuelo en numérico ('5' no es un número, es una letra; 5 si es un número)

Código MySQL:

mysql> ALTER TABLE tablaejemplo CHANGE campo campo INTEGER;
Query OK, 0 rows affected (0.00 sec)
Records: 0  Duplicates: 0  Warnings: 0
 
mysql> DESCRIBE tablaejemplo;
+-------+---------+------+-----+---------+-------+
| Field | Type    | Null | Key | Default | Extra |
+-------+---------+------+-----+---------+-------+
| campo | int(11) | YES  |     | NULL    |       |
+-------+---------+------+-----+---------+-------+
1 row in set (0.00 sec)
 
mysql> INSERT INTO tablaejemplo VALUES (3);
Query OK, 1 row affected (0.00 sec)
 
mysql> SELECT * FROM tablaejemplo;
+-------+
| campo |
+-------+
|     3 |
+-------+
1 row in set (0.00 sec)
 
mysql> INSERT INTO tablaejemplo VALUES ('5');
Query OK, 1 row affected (0.00 sec)
 
mysql> SELECT * FROM tablaejemplo;
+-------+
| campo |
+-------+
|     3 |
|     5 |
+-------+
2 rows in set (0.00 sec)