0

Agora segue a função; o que eu preciso é simplesmente passar o valor de uma variavel JavaScript para dentro do PHP, se eu fizer um código isolado sem tantas aspas e chamadas funciona, mas quando eu misturo tudo dá problema, creio que seja duas coisas

1-algo relacionado ao fechamento de tags < script > 2-inicio e termino de aspas.

o problema reside nesta bendita linha

$tabela = "< script >document.write(varTB)< /script >";

Se eu colocar a string da SQL na mão, funciona de boa... mas quando tento escrever assim não funciona. o que pode ser ?

Me deem uma força ai, que tou engatinhando no mundo web. grato

   <button name="addEnvolvido" onclick="carregaCombo('tipolocal','idocorrencia')">Adicionar</button><br/>    

 <select id="idocorrencia">
          <option value=""></option>
</select>


<?php include("conexao.php"); ?>

<script type="text/javascript">
    function carregaCombo(nomeTB, nomeCombo)
    {
         select = document.getElementById(nomeCombo);
         var varTeste = '';
         var varTB = nomeTB;

            varTeste =
            <?php
                //echo '"item 1"';

                        $tabela = "<script>document.write(varTB)</script>";

                        $varResult = '"';
                        $result = mysqli_query($con, 'SELECT id, nome FROM ' . $tabela);
                                //nomeTB ORDER BY nome');

                        while($row = mysqli_fetch_array($result))
                        {  
                           $varResult .= $row[0] . '-' . $row[1] . ';';
                        }

                        //remove o ultimo ; da variavel
                        $varResult = substr($varResult,0,-1);
                        $varResult .= '"';

                        echo $varResult;
            ?>;

                                        //agora separar o ID do nome
            for (var i = 0; i < varTeste.split(";").length ; i++)
            {
                var opt = document.createElement('option');
                opt.value = varTeste.split(";")[i];
                opt.innerHTML = varTeste.split(";")[i];
                select.appendChild(opt);
            }


    }
4
  • 1
    Se alguém achar fácil, tenho certeza que isto foi respondido inúmeras vezes. Maldito template que faz as pessoas acharem que as linguagens se comunicam diretamente.
    – Maniero
    Commented 15/03/2015 às 17:58
  • tou aqui vendo. o js roda do lado da cliente, o PHP do servidor. não é possivel imprimir em uma variavel PHP a variavel js ? Commented 15/03/2015 às 18:18
  • Uma possibilidade de dup: pt.stackoverflow.com/q/25136/101
    – Maniero
    Commented 15/03/2015 às 18:39
  • Blza. Entendido. Obg Commented 15/03/2015 às 18:43

1 Resposta 1

3

Cleverton, o que você precisa entender é que o PHP roda no servidor e o Javascript no caso, no navegador.

Imagine a falha de segurança que seria se através do javascript fosse possível acessar o banco de dados, como é o caso do seu exemplo. Como o javascript é executado no navegador, o usuário consegue manipular facilmente o código, então nada o impediria de alterar o valor de nomeTB para:

usuarios; DROP TABLE usuarios;

Entendeu?

O que você precisa fazer nesse caso é uma separação de responsabilidades, talvez criar um webservice com o PHP que responde a uma requisição com o resultado da busca.

Exemplo:

Esse seria o webservice 'get_table.php'

<?php
    // Pega o nome da tabela da requisição (no caso, GET)
    $table = $_GET['tabela'];
    $result = mysqli_query($con, 'SELECT id, nome FROM ' . $table . ';');
    $varResult = '"';
    while ($row = mysqli_fetch_array($result)) {
        $varResult .= $row[0] . '-' . $row[1] . ';';
    }

    //remove o ultimo ; da variavel
    $varResult = substr($varResult, 0, -1);
    $varResult .= '"';

    echo $varResult;
?>;

E esse seria seu javascript

function carregaCombo(nomeTB, nomeCombo) {
    var select = document.getElementById(nomeCombo);
    var varTeste = '';

    var xhReq = new XMLHttpRequest();
    xhReq.open("GET", "get_table.php?tabela=" + nomeTB, false);
    xhReq.send(null);

    varTeste = xhReq.responseText;

    for (var i = 0; i < varTeste.split(";").length ; i++) {
        var opt = document.createElement('option');
        opt.value = varTeste.split(";")[i];
        opt.innerHTML = varTeste.split(";")[i];
        select.appendChild(opt);
    }
}

O que eu fiz foi criar um webservice chamado get_table.php que escuta por requisições HTTP. Quando ele recebe uma requisição com o verbo GET e com o parâmetro "tabela", ele realiza a consulta no banco utilizando o parâmetro e imprime o resultado, como era esperado no seu exemplo.

Mas esse exemplo continua com o mesmo problema que eu citei, se o parâmetro passado para "tabela" for "usuarios; DROP TABLE usuarios;", ele também vai remover a table Usuarios.

O mais correto a se fazer é criar um webservice seguindo o Principio de Responsabilidade Unica, por exemplo:

<?php
    $result = mysqli_query($con, 'SELECT id, nome FROM usuarios;');

    while ($row = mysqli_fetch_array($result)) {
        $varResult .= $row[0] . '-' . $row[1] . ';';
    }

    //remove o ultimo ; da variavel
    $varResult = substr($varResult, 0, -1);
    $varResult .= '"';

    echo $varResult;
?>

Nesse caso, você faria uma requisição HTTP com o verbo GET para por exemplo, pegar_usuarios.php e ele te retornaria o resultado da sua consulta, sem nenhum input do usuário que possa ser explorado maliciosamente.

1
  • Bem colocada a questão de segurança André Abadesso. Commented 13/04/2017 às 10:50

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .