PHP - SELECT con WHERE variable.

Saludos a todos.

Quiero hacer esta consulta MySQL:


La consulta funciona perfectamente pero 'columna' no tiene porque ser la misma.
'columna' lo obtengo de un <select> <option> <option> </select>. Al <select> le he dado el nombre 'campo':


Entonces transformo la sentencia SQL y queda así:


pero me da error.
He comprobado que $_POST['campo'] tiene el valor seleccionado en <select>, por ejemplo, 'nombre_f'.
La pregunta es si está permitido WHERE $variable o si estoy cometiendo un error en otra parte del código.

Espero vuestras sugerencias. Muchas gracias.

Hola


Suerte

Me funcionó. Muchísimas gracias.

Hola Enrique:

Ten cuidado con esto que estás haciendo... te estás exponiendo a ataques de tipo inyección SQL.

Como mínimo deberías validar que el valor recibido en $_POST['campo'] corresponde a una columna de la tabla en cuestión.

Exitos!

Hola Mauro.

Como buen novato no había oído hablar de la inyección SQL y me he puesto a buscar información en internet.
En primer lugar no se como validar que $_POST['campo'] tenga el valor de una columna de la tabla pero por lo leído por internet aconsejan utilizar mysqli_real_escape_string();.

Entiendo que yo debería hacer $post = mysqli_real_escape_string($conexion, $_POST['campo']); en la línea anterior a la consulta sql. ¿Es así?

Muchas gracias por tu advertencia.

Hola Enrique:

No hay problema, me alegra haberte ayudado :)

Si quieres más información sobre la inyección sql y cómo prevenirla te recomiendo leer este artículo que escribí.

Y si te preocupa la seguridad en tus aplicaciones te invito a que me sigas en Twitter ya que en unas semanas estaré haciendo un taller en vivo sobre la prevención de las vulnerabilidades más frecuentes en PHP.

Ahora sí, respecto de tu duda, la validación puedes hacerla de varios modos.

Viendo lo que comentas, que el campo sale de un select:

'columna' lo obtengo de un <select> <option> <option> </select>

Bastaría con validar que $_POST['campo'] pertenezca al arreglo de valores mostrados en el <select> <option>.

Para ello puedes usar la función in_array

Consúltame si te quedan dudas ;)