Que opinan de este codigo?

gmzatos · #1 (**permalink**) 16/05/2011, 17:02

Hola a todos.

Luego de estudiar bastante el dia de hoy php y mysql pues por fin hice mi sistema de noticias y me gustaría opiniones que puedan mejorar el código.

Configuración:

Código PHP:

Ver original<?php
//Conexion a la db
$connect=mysql_connect('localhost','root','ragnarok') or die ('Error al conectar');
//Seleccion de base de datos
mysql_select_db('ragnarok') or die ('Por favor verifique su base de datos.');
// Consultas
$sql = "SELECT * FROM noticias";
$consulta = mysql_query ($sql, $connect) or die (mysql_error());
$error = "Imposible procesar formulario, los campos estan vacios";
$done = "Datos enviados correctamente";
?>

Formulario para añadir la noticia:

Código PHP:

Ver original<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
<html xmlns="http://www.w3.org/1999/xhtml">
<head>
<meta http-equiv="Content-Type" content="text/html; charset=utf-8" />
<title>Agrega tu noticia</title>
<link href='http://fonts.googleapis.com/css?family=Droid+Sans' rel='stylesheet' type='text/css'>
</head>
<style>
#form {
    position: absolute;
    top: 222px;
    height: 45%;
    left: 260px;
    width: 30%;
    text-align: center;
    border-radius:3px;
    -webkit-border-radius:3px;
    -moz-border-radius:3px;
    background-color:#0581E4;
    opacity:0.8;
    border: 1px solid #09F;
    font-family:droid sans;
    font-size: 18px;
    color: #FFF;
    text-shadow: 1px 0px 1px #000;
    }
body {
    background-image:url(ragnarok%20-%20004.jpg);
    background-attachment:fixed;
    background-size:100%;
    -moz-background-size:100%;
    }
</style>
<body background="ragnarok - 004.jpg">
<div id="form"><form id="form1" name="form1" method="post" action="noticia_p.php">
  <p>&nbsp;</p>
  <p>
    <label for="titulo">Titulo:<br />
      <br />
    </label>
    <input type="text" name="titulo" id="titulo" />
  </p>
  <p>
    <label for="contenido">Noticia:<br />
      <br />
    </label>
    <textarea name="contenido" id="contenido" cols="45" rows="5"></textarea>
  </p>
  <p>
    <input type="submit" name="button" id="button" value="Añadir noticia" />
  </p>
</form></div>
<div style="position:absolute; left: 339px; top: 40px; height: 163px; width: 320px;"><img src="logo.png" width="320" height="163" /></div>
</body>
</html>

Proceso para añadir la noticia:

Código PHP:

Ver original<?php
 
include('config.php');
 
$titulo = $_POST['titulo'];
$contenido = $_POST['contenido'];
 
if($titulo == "" || $contenido == ""){
    echo $error;
} else {
$sql = "INSERT INTO noticias (titulo,contenido) values('$titulo','$contenido')";
$cnt = mysql_query($sql,$connect) or die (mysql_error()); 
echo "¡Tu noticia a sido añadida!";
}
?>

Saludos

johhan16 · #2 (**permalink**) 16/05/2011, 18:40

pues lo primero que le falta es seguridad, lee aqui mismo foros de seguridad por ejemplo este http://www.forosdelweb.com/f18/ataqu...-mysql-913106/ que le estan inyectando codigo malicioso

gildus · #3 (**permalink**) 16/05/2011, 21:04

Holas,

En el primer codigo podrias usarlo asi:

Código PHP:

  <?php
//Conexion a la db
$connect=mysql_connect('localhost','root','ragnarok') or die ('Error al conectar');
//Seleccion de base de datos
mysql_select_db('ragnarok') or die ('Por favor verifique su base de datos.');
// Consultas
$consulta = mysql_query ('SELECT * FROM noticias', $connect) or die (mysql_error());
$error = 'Imposible procesar formulario, los campos estan vacios';
$done = 'Datos enviados correctamente';
?>

Y ademas no te recomiendo tener el root como usuario, usa otro usuario. Y cuando hagas un SELECT *, evita usar el * y usa solo los campos que utilices.

Y otro script seria:

Código PHP:

  <?php
require('config.php');
if(isset($_POST['titulo']) && !empty($_POST['titulo']) && isset($_POST['contenido']) && !empty($_POST['contenido']) )
{    $titulo = mysql_real_escape_string($_POST['titulo']);
    $contenido = mysql_real_escape_string($_POST['contenido']);
    else 
    {    $cnt = mysql_query("INSERT INTO noticias (titulo,contenido) values('$titulo','$contenido')",$connect) or die (mysql_error()); 
        echo "¡Tu noticia a sido añadida!";
    }

}
else    echo $error;
?>

Saludos
Gildus