0

Criei um formulário quando clico no botão 'alterar' ele envia os dados via $_POST e chama a página que irá fazer o update. Porém está é uma boa prática? Mais curiosidade, estou aprendendo alguns conceitos ainda.

produto-altera.php

$id = $_GET['id']; //Recebe o parametro pela URL
$produto = buscarProduto($conexao, $id); //irá buscar os produto no banco de dados retornar a matriz.

$categorias = listaCategorias($conexao);

?>
            <h1>Alter products</h1>
            <form action="alterar-produto.php" method="post">
                <input type="hidden" name="id" value="<?=$produto['id']?>" />
                <table class="table">
                <tr>
                    <td><input type="text" name="nome" class="form-control" placeholder="Nome" value="<?= $produto['nome'] ?>" /></td>
                </tr>
                <tr>
                    <td><input type="number" name="preco" class="form-control" placeholder="Preço" value="<?= $produto['preco'] ?>"></td>
                </tr>
                <tr>
                    <td>
                        <textarea name="descricao" class="form-control" placeholder="Descrição"><?= $produto['descricao'] ?></textarea>
                    </td>
                </tr>
                <tr>
                    <?php 

                        $usado = $produto['usado'] ? "checked='checked'" : ""; 
                        //verifica se o usado está preenchido no banco
                     ?>
                    <td><input type="checkbox" class="form-control" name="usado" <?=$usado?> value="true">Produto usado
                    </td>
                </tr>
                <tr>
                    <td>
                        <select name="categoria_id" class="form-control" value="<?= $produto['nome'] ?>">
                        <?php foreach ($categorias as $categoria): 
                            $essaEhACategoria = $produto['categoria_id'] == $categoria['id'];
                            $selecao = $essaEhACategoria ? "selected='selected'" : "";
                        ?>
                            <option value="<?=$categoria['id']?>"<?=$selecao?>><?=$categoria['nome'] ?>
                            </option>
                        <?php endforeach ?>
                    </select>
                    </td>
                </tr>
                <tr>
                    <td><input type="submit" value="Alterar" class="btn btn-primary"></td>
                </tr>
            </table>
        </form>
<?php include("rodape.php"); ?>

A parte que quero entender se está correto fazer desta forma é:

<input type="hidden" name="id" value="<?=$produto['id']?>" />

Pois estou enviado o ID via $_POST de uma forma escondida porém no código fonte da para ver tranquilamente

Para que meu alterar-produto.php possa receber:

<?php include("cabecalho.php"); ?>

<?php
include("conecta.php"); // inclui a conexao e estou usando a variavel da classe
include("banco-produto.php"); //Inserir produtos

$id = $_POST['id'];
$nome = $_POST['nome'];
$preco = $_POST['preco'];
$descricao = $_POST['descricao'];
$categoria_id = $_POST['categoria_id'];
//Tratar caso o checkbox não seja selecionado
if(array_key_exists("usado", $_POST)){
    $usado = "true";
} else {
    $usado = "false";
}

//Verifica se os dados foram inseridos
if(updateProduto($conexao, $id, $nome, $preco, $descricao, $categoria_id, $usado)){
?>
<p class="alert alert-dark">Produto <?php echo $nome; ?>, <?= $preco; ?> Alterado com sucesso!</p>
<?php
} else {
    $msg = mysqli_error($conexao);
?>
<p class="alert alert-danger"> Produto <?php echo $nome; ?>, <?= $preco; ?>  Não foi alterado!</p>
<?php
}


/* função de inserção antiga

if(mysqli_query($cnn, $query)){
?>
    <p class="alert alert-dark">Produto <?php echo $nome; ?>, <?= $preco; ?> adiciona com sucesso!</p>
<?php
} else {
?>
    <p class="alert alert-danger"> Produto <?php echo $nome; ?>, <?= $preco; ?>  Não foi adicionado!</p>
<?php
}
mysqli_close($cnn);
?>
*/
?>

<?php include("rodape.php"); ?>
1
  • Não é errado e isso vai de gosto. Eu por exemplo, prefiro trabalhar com rotas. Ex: /user/address/add e /user/address/edit/:address_id Commented 27/02/2018 às 22:20

1 Resposta 1

1

O envio via $_POST está correto, mas observe que você já está exibindo o id ($id = $_GET['id'];) na URL, o que torna esse id visível a todos. Isso é uma questão de gosto, porém você deve se preocupar realmente com boas práticas, SQL Injection, etc.

Procure por no Google:

Sucesso!

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .