1

Estou com um problema e não sei como resolver.

Estou usando MYSQLI para consultar um banco de dados usando GET para pegar o nome da tabela onde a consulta deverá ser feita.

Código conexão BD:

$hostbd = "localhost";
$usuariobd = "usuario";
$senhabd = "senha";
$bancobd = "bd";

// Conecta ao banco de dados
$mysqli = new mysqli($hostbd, $usuariobd, $senhabd, $bancobd);
// Verifica se ocorreu algum erro
if (mysqli_connect_errno()) {
    die('Não foi possível conectar-se ao banco de dados: ' . mysqli_connect_error());
    exit();
}

O código é:

$sql = $mysqli->prepare('SELECT * FROM ? ORDER BY `id` DESC');
$modulo = $_GET["modulo"];
$sql->bind_param('s', $modulo);
$sql->execute();
$RESULT = get_result($sql);
$sql->store_result();
$registro = $sql->num_rows;

if ($registro < 1) {
    echo "resultado";
}

Quando acesso a pagina o seguinte erro é exibido:

Fatal error: Call to a member function bind_param() on a non-object in /caminho/modulo.php on line 24

A linha 22 é essa: $sql->bind_param('s', $modulo);

Já dei print na variável $modulo e ela está puxando o nome certinho da tabela, se eu colocar o nome da tabela na variável $modulo o problema ainda persiste o que me mostra que o problema não é o GET. Caso eu coloque o nome da tabela direto na consulta o erro não é exibido e funciona normalmente.

Alguém tem ideia do que possa ser?

4
  • Onde tu está declarando o objeto $mysqli? Commented 13/02/2017 às 10:13
  • @ThiagoSantos $mysqli está declara no código de conexão com o banco de dados. Vou editar o código original para que possa ver Commented 13/02/2017 às 10:33
  • Você já parou pra pensar que dessa forma algum "espertinho" pode ver os dados de outras tabelas só mudando valores na quey string?
    – Jéf Bueno
    Commented 13/02/2017 às 11:28
  • @jbueno Você fala se o esperto mudar o dado enviado via GET? O que me sugere? Obrigado Commented 14/02/2017 às 11:41

1 Resposta 1

1

Você está com erro na sua sintaxe SQL; você não pode utilizar o método bind_param para vincular o nome da tabela, por isso o método prepare deve estar retornando false e não o objeto statement, então tente adicionar diretamente o nome da tabela no SQL que deve funcionar.

4
  • Sim, se eu digitar o nome da tabela diretamente na consulta funciona. O problema é que esse código é de alguns módulos, ou seja, precisava pegar o nome da tabela via GET e jogar na consulta. Commented 13/02/2017 às 10:32
  • Então, mas utilizando o bind_params para isso não vai dar certo, assim não ajuda? $sql = $mysqli->prepare(sprintf('SELECT * FROM %s ORDER BY id DESC', $_GET["modulo"])); e então remova a linha 22. Apenas faça um tratamento/validação na variável $_GET["modulo"] antes, você pode validar se realmente existe.
    – lucasxciv
    Commented 13/02/2017 às 10:40
  • Desse jeito que você passou, quando tirei a linha do bind_params o erro passou para a linha de baixo (execute). Porém consegui fazer funcionar seguindo sua lógica: $modulo = $mysqli->real_escape_string($_GET["modulo"]); $consulta = 'SELECT * FROM '. $modulo .' ORDER BY id DESC'; $sql = $mysqli->prepare($consulta)or die($mysqli->error); Commented 13/02/2017 às 10:51
  • Isso, a ideia é a mesma, você está tratando a variável $modulo antes a concatenar ao SQL, assim vai funcionar, apenas com o bind_param que não teria possibilidade.
    – lucasxciv
    Commented 13/02/2017 às 10:53

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .