si no es entero no funciona el script

[Henkka]

Me imagino que GetSQLValueString() es una función que sirve para sanitizar las entradas.

Al no usarla para el INSERT INTO cotizacion_detail dejás esa parte vulnerable a inyecciones SQL.

Si en el formulario ingresases números, lo que le llega a MySQL es lo siguiente:

Código MySQL:

INSERT INTO cotizacion_detail VALUES (NULL, 3, 4, 5, 6);
 

Que es totalmente válido, en MySQL los integers no necesitan encerrarse entre comillas. Si descripcion fuese alfanumérica, llegaría

Código MySQL:

INSERT INTO cotizacion_detail VALUES (NULL, 3, 4, asd, 6);
 

Como no se puede dejar un literal sin comillas, no lo interpreta como un valor, sino como una columna de otro resultset (por si trabajases con SELECT anidados o uniones).

La respuesta es encerrar las variables con comillas simples en el código, pero esto sigue dejando el script vulnerable a inyecciones SQL, así que también las tendrías que pasar por tu función de sanitización.

Podrías considerar usar alguna capa de abstracción como PDO, que se encarga de ayudarte a preparar las consultas.

http://web2development.blogspot.com/2007/04/accesando-nuestra-base-de-datos-con-pdo.html



Para que entiendas mejor, acá te doy un ejemplo. Primero intento insertar foo sin comillas, y luego con

Código MySQL:

mysql> CREATE TABLE tablaejemplo (campo VARCHAR(5) NOT NULL);
Query OK, 0 rows affected (0.00 sec)
 
mysql> INSERT INTO tablaejemplo VALUES (foo);
ERROR 1054 (42S22): Unknown column 'foo' in 'field list'
 
mysql> SELECT * FROM tablaejemplo;
Empty set (0.00 sec)
 
mysql> INSERT INTO tablaejemplo VALUES ('foo');
Query OK, 1 row affected (0.00 sec)
 
mysql> SELECT * FROM tablaejemplo;
+-------+
| campo |
+-------+
| foo   |
+-------+
1 row in set (0.00 sec)
 

Si el valor fuese numérico, funcionaría de ambas maneras

Código MySQL:

mysql> INSERT INTO tablaejemplo VALUES (1);
Query OK, 1 row affected (0.00 sec)
 
mysql> SELECT * FROM tablaejemplo;
+-------+
| campo |
+-------+
| 1     |
+-------+
1 row in set (0.00 sec)
 
mysql> INSERT INTO tablaejemplo VALUES ('7');
Query OK, 1 row affected (0.00 sec)
 
mysql> SELECT * FROM tablaejemplo;
+-------+
| campo |
+-------+
| 1     |
| 7     |
+-------+
2 rows in set (0.00 sec)
 

Incluso si el tipo de datos fuese numérico, se le podría pasar un número en formato literal y MySQL lo convertiría al vuelo en numérico ('5' no es un número, es una letra; 5 si es un número)

Código MySQL:

mysql> ALTER TABLE tablaejemplo CHANGE campo campo INTEGER;
Query OK, 0 rows affected (0.00 sec)
Records: 0  Duplicates: 0  Warnings: 0
 
mysql> DESCRIBE tablaejemplo;
+-------+---------+------+-----+---------+-------+
| Field | Type    | Null | Key | Default | Extra |
+-------+---------+------+-----+---------+-------+
| campo | int(11) | YES  |     | NULL    |       |
+-------+---------+------+-----+---------+-------+
1 row in set (0.00 sec)
 
mysql> INSERT INTO tablaejemplo VALUES (3);
Query OK, 1 row affected (0.00 sec)
 
mysql> SELECT * FROM tablaejemplo;
+-------+
| campo |
+-------+
|     3 |
+-------+
1 row in set (0.00 sec)
 
mysql> INSERT INTO tablaejemplo VALUES ('5');
Query OK, 1 row affected (0.00 sec)
 
mysql> SELECT * FROM tablaejemplo;
+-------+
| campo |
+-------+
|     3 |
|     5 |
+-------+
2 rows in set (0.00 sec)