Preparar declaracion

[Skorge]

Hola gente de foros del web.

He estado dando muchas vueltas a el codigo pero no hallo una respuesta. Veran es un Login con funciones preparadas, he trabajado poco o nada con estas entonces no me va muy bien, he ojeado el manual y se como representarlas pero ahora me sale un error que es un poco extraño Database error: cannot prepare statement = Error base de datos : no se puede preparar la declaración, pero en parte no hay sentido alguien podria explicarme que pasa por favor.

[xerifandtomas]

Mejor muestra el código que te da el error, a si sin más es difícil que alguien te pueda ayudar.

[Skorge]

Hola, Hombre gracias por responder, el codigo es este.

Código PHP:

function login($username, $password, $mysqli) {
    // Using prepared statements means that SQL injection is not possible. 
    if ($stmt = $mysqli->prepare("SELECT id, 
                                         Nombre,
                                         Apellidos,
                                         password,
                                         salt,
                                         cargo,
                                         departamento 
                                  FROM   usuario 
                                  WHERE  username = ? LIMIT 1")) {
        $stmt->bind_param('s', $username);  // Bind "$usernamel" to parameter.
        $stmt->execute();    // Execute the prepared query.
        $stmt->store_result();
 
        // get variables from result.
        $stmt->bind_result($username, $db_password, $salt);
        $stmt->fetch();
 
        // hash the password with the unique salt.
        $password = hash('sha512', $password . $salt);
        if ($stmt->num_rows == 1) {
            // If the user exists we check if the account is locked
            // from too many login attempts 
            if (checkbrute($username, $mysqli) == true) {
 
                return false;
            } else {
                // Check if the password in the database matches 
                // the password the user submitted.
                if ($db_password == $password) {
                    // Password is correct!
                    // Get the user-agent string of the user.
                    $user_browser = $_SERVER['HTTP_USER_AGENT'];
 
                    // XSS protection as we might print this value
                    $username = preg_replace("/[^0-9]+/", "", $username);
                    $_SESSION['username'] = $username;
 
                    // XSS protection as we might print this value
                    $username = preg_replace("/[^a-zA-Z0-9_\-]+/", "", $username);
 
                    $_SESSION['username'] = $username;
                    $_SESSION['login_string'] = hash('sha512', $password . $user_browser);
 
                    // Login successful. 
                    return true;
                } else {
                    // Password is not correct 
                    // We record this attempt in the database 
                    $now = time();
                    if (!$mysqli->query("INSERT INTO inyeccion(username, time) 
                                    VALUES ('$username', '$now')")) {
                        header("Location: ../error.php?err=Database error: inyeccion");
                        exit();
                    }
                    return false;
                }
            }
        } else {
            // No user exists. 
            return false;
        }
    } else {
        // Could not create a prepared statement
        header("Location: ../error.php?err=Database error: cannot prepare statement");
        exit();
    }
}
function checkbrute($username, $mysqli){
    // Obtenemos el timestamp
    $now = time();
    $valid_attempts = $now - (82 * 60 * 60);
    if($stmt = $mysqli->prepare("SELECT password FROM inyeccion WHERE username = ?" AND time > '$valid_attempts')){
        $stmt->bind_param('u',$username);
        $stmt->execute;
        $stmt->store_result();
        
        if ($stmt->num_rows> 5){
            return true;
        } else {
        return false;
    } 
} else {
        [B]header("Location: ../error.php?err=Database error: cannot prepare statement");
        exit();[/B]
     }
}
 

Este codigo me ha dado muchos problemas, :v pero ya he ejecutado la consulta del query y sale bien ya la descarte, mire las variables y tambien, solo se quedo hay estancado. Gracias por responder nuevamente!

[xerifandtomas]

Código PHP:

// aquí tienes un error de sintaxis en el if
if($stmt = $mysqli->prepare("SELECT password FROM inyeccion WHERE username = ?" AND time > '$valid_attempts')){....}
 
 
// a ver así 
if( ($stmt = $mysqli->prepare("SELECT password FROM inyeccion WHERE username = ? ") )  AND time > $valid_attempts){....}
 

Edit:
Error mio , me corrijo, ahora si.

[Skorge]

Hola y no amigo aun sigue sin funcionar, mismo error y gracias por ver ese error no me habia percado.

Sabes y he depurado los parametros pero no aparece error, pero el error que me aparece en la ejecucion dice que es de parametros

Código PHP:

if (!$stmt->bind_param('s', $username)){
        echo "Falló la vinculación de parámetros: (" . $stmt->errno . ") " . $stmt->error;}// Bind "$email" to parameter.
        if ($stmt->execute()) {
        echo "Fallo la ejecucion: (" .$sentencia->errno. ")" .stmt->error;}    // Execute the prepared query.
        $stmt->store_result();
 

[xerifandtomas]

Puedes mostrar el error en concreto y línea en su contexto?

Por cierto a time le faltan también los paréntesis que no me di cuenta

Código PHP:

if( ($stmt = $mysqli->prepare("SELECT password FROM inyeccion WHERE username = ? ") )  AND time() > $valid_attempts){....}
 

Aun que esa validación después del AND me parece un poco inútil, por que si expandes las variables vienes ha hacer algo como esto

Código PHP:

if( time()-(82*60*60) > time() )// Esto siempre se va a cumplir y no entiendo que sentido tiene
// ya que $valid_attempts lo defines justo antes del if con
$now = time();
$valid_attempts = $now - (82 * 60 * 60);
if( ($stmt = $mysqli->prepare("SELECT password FROM inyeccion WHERE username = ? ") )  AND time() > $valid_attempts){....}
 

[Skorge]

Hola. Gracias por tu ayuda!

Hombre en realidad el error no sale como un error de ejecucion, no sale ni nada asi por el estilo sale es una pantalla con el siguiente mensaje, Database error: cannot prepare statement.

Este codigo da lata y mucha, con respecto a las variables inutiles tienes razon, con ese comentario, no se en que estaba pensando. Voy a lanzar unas cuantas lineas haber que tal, aunque son un poco aleatorias.

Oye pero tambien mira que defino los parametros para que me muestren el error real y no sale nada :/, solo la pantalla con el mensaje que te deje

Edito: Al fin logre sacar un el msm de error mira

Código PHP:

Fatal error: Uncaught Error: Call to a member function bind_param() on boolean in C:\xamp\htdocs\Seg\Seg\includes\Loguear_el_logueo.php:29 Stack trace: #0 C:\xamp\htdocs\Seg\Seg\includes\login.php(10): login('Groyert', 'e9e97ceb185bf0b...', Object(mysqli)) #1 {main} thrown in C:\xamp\htdocs\Seg\Seg\includes\Loguear_el_logueo.php on line 29
 

[xerifandtomas]

Y cual es la línea 29 y su contexto en el archivo Loguear_el_logueo.php?

[Skorge]

Linea 29

Código PHP:

if (!$stmt->bind_param("i", $username)) {
 

Su contexto toma los valores de aqui,

Código PHP:

if(!($stmt = $mysqli->prepare("SELECT id, Nombre, Apellidos, password, cargo, despartamento FROM usuario WHERE username = ? LIMIT 1")))
 

y su contexto el volver el valor username un parametro.

[xerifandtomas]

A ver así un poco a la aventura por qué el contesto que muestras es bastante limitado.

Aquí le estas diciendo a bind_param que $username es un entero, cosa que dudo bastante, por que no suele ser habitual que un nombre se usuario sea sólo un número entero quizás la opción adecuada es s más que I, pero mira la documentación a ver cual se adapta mejor a ti dato.

Código PHP:

if (!$stmt->bind_param("i", $username)) {
 

[Skorge]

Hola! Gracias por seguir respondiendo xerifandtomas y por tener paciencia.

Pido excusas por proporcionar la informacion tan limitada, casi no os entiendo y trato de poner lo que "puede ser", no quiero tampoco pasarme un poco de la raya,Vale me pondre al tanto de la documentacion, mientras he visto que el error se repite si lo enlazo con otra BD, entonces si es el codigo. Gracias por seguir respondiendo.