Classe DB

Utilização da classe DB pelos arquivos da interface pública (por enquanto, à excessão das demais classes).

Classe DB
Utilização da classe DB pelos arquivos da interface pública (por enquanto, à excessão das demais classes).
Leandro Arndt
1 parent 30c98f06
Showing 13 changed files with 103 additions and 73 deletions Show diff stats
acompanhamento/cadastro.php
acompanhamento/index.php
class/db.class.php
enquete/manutencao.php
estatistica/index.php
inc/buscacep.php
inc/funcoes.php
inc/paginacaoIni.php
inc/paginacaoPorPostFim.php
inc/paginacaoPorPostIni.php
inc/security.php
restrito/alterasenha/manutencao.php
solicitacao/formulario.php
@@ -8,6 +8,7 @@
  modificá-lo sob os termos da Licença GPL2.
 ***********************************************************************************/
+ include_once("../class/db.class.php");
  include("manutencao.php");
  include("../inc/topo.php");
 ?>
@@ -226,9 +227,9 @@
 		<td width="100%" colspan="4">
                         <table align="center" width="100%" cellpadding="0" cellspacing="1" class="tabListaDetalhe">
                         <?php
-                        $rsAnexo = execQuery("select * from lda_anexo where idsolicitacao=$idsolicitacao order by idanexo");
+                        $rsAnexo = DB::execQuery("select * from lda_anexo where idsolicitacao=".DB::esc($idsolicitacao)." order by idanexo");
                         $i=0;
-                        while($row = mysql_fetch_array($rsAnexo)){
+                        while($row = mysqli_fetch_array($rsAnexo)){
                             $i++;
                             ?>
                             <tr>
@@ -10,6 +10,7 @@
 include("../inc/autenticar.php");
 include_once("../class/solicitacao.class.php");
+include_once("../class/db.class.php");
 include("../inc/topo.php");
 include("../inc/paginacaoPorPostIni.php");
@@ -21,8 +22,8 @@ $situacao       = $_REQUEST[&quot;fltsituacao&quot;];
 $parametrosIndex = "fltnumprotocolo=$numprotocolo&fltsituacao=$situacao"; //parametros a ser passado para a pagina de detalhamento, fazendo com que ao voltar para o index traga as informações passadas anteriormente
-if (!empty($numprotocolo)) $filtro.= " and concat(sol.numprotocolo,'/',sol.anoprotocolo) = '$numprotocolo'";
-if (!empty($situacao)) $filtro.= " and sol.situacao = '$situacao'";
+if (!empty($numprotocolo)) $filtro.= " and concat(sol.numprotocolo,'/',sol.anoprotocolo) = '".DB::esc($numprotocolo)."'";
+if (!empty($situacao)) $filtro.= " and sol.situacao = '".DB::esc($situacao)."'";
@@ -33,8 +34,8 @@ if (!empty($situacao)) $filtro.= &quot; and sol.situacao = &#39;$situacao&#39;&quot;;
 $sql = "select sol.*, tip.nome as tiposolicitacao
         from lda_solicitacao sol, lda_tiposolicitacao tip
         where tip.idtiposolicitacao = sol.idtiposolicitacao
-            and sol.idsolicitante = $idsolicitante
-            $filtro 
+            and sol.idsolicitante = ".DB::esc($idsolicitante)."
+            ".DB::esc($filtro)." 
         order by sol.anoprotocolo, sol.numprotocolo, sol.idsolicitacao";
 /*if ($_REQUEST['imprimir']) {
@@ -47,7 +48,6 @@ $rs = execQueryPag($sql);
 <h1>Consulta de Solicitações Realizadas</h1>
 <br><br>
 <form action="<?php echo URL_BASE_SISTEMA;?>/acompanhamento/index.php" method="post" id="formulario">
-<input type="hidden" name="pagina" id="pagina" value="<?php echo $pagina?>">
 <fieldset style="width: 50%;">
 <legend>Buscar:</legend>
     <table align="center">
@@ -90,7 +90,7 @@ $rs = execQueryPag($sql);
     </tr>
     <?php
     $cor=false;
-    while ($registro = mysql_fetch_array($rs)) {
+	while ($registro = mysqli_fetch_array($rs)) {
             $click = "editar('".$registro["idsolicitacao"]."&$parametrosIndex','".URL_BASE_SISTEMA."acompanhamento/cadastro');";
             if($cor)
@@ -19,9 +19,13 @@ class DB {
 		return self::$mysqli;
 	}
-	static function execQuery($query) {
-		// Resolve o problema da injeção de SQL:
-		$rs = mysqli_query(self::conn(), mysqli_real_escape_string(self::CONN(), $query));
+	// Escapa os caracteres especiais, evitando injeção de SQL e HTML:
+	static function esc($param) {
+		return mysqli_real_escape_string(self::conn(), htmlentities($param));
+	}
+	
+	static function execQuery($query, $style = MYSQLI_USE_RESULT) {
+		$rs = self::conn()->query($query, $style);
 		return $rs;
 	}
@@ -10,6 +10,7 @@
 include_once("../inc/autenticar.php");
 include_once("../class/solicitacao.class.php");
+include_once("../class/db.class.php");
 function validaDados()
 {
@@ -39,9 +40,9 @@ if ($_POST[&quot;Enviar&quot;]) {
         $sql="INSERT INTO lda_enquete
                 (idsolicitante, resposta, comentario, dataresposta)
                 VALUES
-                (".getSession("uid").", '".$resposta."','".(str_replace("'","\'",$comentario))."',NOW())";
+                (".getSession("uid").", '".DB::esc($resposta)."','".DB::esc($comentario)."',NOW())";
-        if (!execQuery($sql))
+        if (!DB::execQuery($sql))
             $erro = "Erro ao gravar enquete";
     }
@@ -8,19 +8,19 @@
  modificá-lo sob os termos da Licença GPL2.
 ***********************************************************************************/
-
 	include("../inc/database.php");
-    
+	include_once("../class/db.class.php");
+   	
 	//recupera o quantitativo de solicitações em aberto e respondidas por ano
 	$sql = "SELECT anoprotocolo as ano, 
 				   count(*) as qtde
 			FROM lda_solicitacao 
 			GROUP BY anoprotocolo
 			ORDER BY anoprotocolo";
-			
-	$rs = execQuery($sql);
+		
+	$rs = DB::execQuery($sql, MYSQLI_STORE_RESULT);
-	$numRegistros = mysql_num_rows($rs);
+	$numRegistros = mysqli_num_rows($rs);
 	if ($numRegistros>0) 
 	{
@@ -28,13 +28,13 @@
 		$anos="";
 		$dados="";
 		$maiornumero = 0;
-        while ($row = mysql_fetch_assoc($rs)) {
+        while ($row = mysqli_fetch_assoc($rs)) {
 			$i++;	
 			//recupera o quantitativo de solicitações no ano da iteração que foram respondidas
 			$sql="select count(*) as tot from lda_solicitacao where anoprotocolo = ".$row['ano']." and situacao in('R','N')";
-			$rsResp = execQuery($sql);
-			$rowResp = mysql_fetch_array($rsResp);
+			$rsResp = DB::execQuery($sql);
+			$rowResp = mysqli_fetch_array($rsResp);
 			//se for o ultimo registro nao imprime a virgula no final
 			if ($i==$numRegistros)
@@ -54,7 +54,7 @@
         }
-    } 
+    }
 include("../inc/topo.php"); 	
 ?>
@@ -8,6 +8,7 @@
  modificá-lo sob os termos da Licença GPL2.
 ***********************************************************************************/
+  include_once("../class/db.class.php");
   include "../inc/database.php";
   $f = $_REQUEST['f'];
@@ -16,11 +17,11 @@
 				 tipologradouro, bairro, 
 				 cidade, uf
 		  from vw_cep
-		  where cep = '$f' 
+		  where cep = '".DB::esc($f)."' 
 		  ";
-  $resultado = execQuery($sql);
-  $row = mysql_fetch_array($resultado);
+  $resultado = DB::execQuery($sql);
+  $row = mysqli_fetch_array($resultado);
   ?>
 <script>
@@ -8,6 +8,8 @@
  modificá-lo sob os termos da Licença GPL2.
 ***********************************************************************************/
+include_once("../class/db.class.php");
+
 function isEmail($eMailAddress) 
 {
 	if (eregi("^[0-9a-z]([-_.]?[0-9a-z])*@[0-9a-z]([-.]?[0-9a-z])*\\.[a-z]{2,3}$", $eMailAddress, $check)) 
@@ -178,9 +180,9 @@ function validaTipoArquivo($mime, $extensoes)
 {
 	$sql = "select * from sis_mime where extensao in($extensoes) and mime = '$mime'";
-	$rs = execQuery($sql);
+	$rs = DB::execQuery($sql);
-	if(mysql_num_rows($rs)>0)
+	if(mysqli_num_rows($rs)>0)
 		return true;
 	else
 		return false;
@@ -9,12 +9,15 @@
 ***********************************************************************************/
 //PAGINACAO - PARTE INICIAL
+
+include_once("../class/db.class.php");
 	$total="";
 	//retorna a quantidade de registros da consulta
 	function execQueryPag($consulta){
 		global $total;
 		global $limit;
+		global $maximo;
 		$consulta = strtolower($consulta);
@@ -25,10 +28,17 @@
 		$row = mysql_fetch_assoc($resultado);
 		$total = $row["total"];*/
-		$rs = execQuery($consulta);
-		$total = mysql_num_rows($rs);
+		$rs = DB::execQuery($consulta, MYSQLI_STORE_RESULT);
+		$total = $rs->num_rows;
+		
+		return db::execQuery($consulta.$limit);
-		return execQuery($consulta.$limit);
+		if ( $total > $maximo ) {
+			return DB::execQuery($consulta.$limit);
+		} else {
+			return $rs;
+		}
+
 	}
@@ -82,7 +82,7 @@ if($pgs &gt; 1 )
 	}  
 	?>
-	&nbsp;&nbsp;Pág.:
+	&nbsp;&nbsp;P&aacute;g.:
 	<select onchange="document.getElementById('pagina').value=this.value;document.getElementById('formulario').submit();">
 		<?php for($x=1;$x<=$pgs;$x++){?>
 			<option value="<?php echo $x;?>" <?php echo ($pagina==$x)?"selected":"";?>><?php echo $x;?></option>
@@ -10,11 +10,14 @@
 //PAGINACAO - PARTE INICIAL
+include_once("../class/db.class.php");
+
 	$total="";
 	//retorna a quantidade de registros da consulta
 	function execQueryPag($consulta){
 		global $total;
 		global $limit;
+		global $maximo;
 		$consulta = strtolower($consulta);
@@ -25,15 +28,18 @@
 		$row = mysql_fetch_assoc($resultado);
 		$total = $row["total"];*/
-		$rs = execQuery($consulta);
-		$total = mysql_num_rows($rs);
-		
-		return execQuery($consulta.$limit);
-		
+		$rs = DB::execQuery($consulta, MYSQLI_STORE_RESULT);
+		$total = $rs->num_rows;
+
+		if ( $total > $maximo ) {
+			return DB::execQuery($consulta.$limit);
+		} else {
+			return $rs;
+		}
 	}
 	// Declaração da pagina inicial  
-	$pagina = $_POST["pagina"];  
+	$pagina = $_POST["pagina"];
 	if($pagina == "") 
 	{  
 		$pagina = "1";  
@@ -10,6 +10,7 @@
 require_once ("database.php");
 require_once ("funcoes.php");
+include_once("../class/db.class.php");
 function sendMail($to, $subject,$body,$from="",$fromname="")
 {
@@ -17,9 +18,9 @@ function sendMail($to, $subject,$body,$from=&quot;&quot;,$fromname=&quot;&quot;)
 		if(empty($from))
                 {
                     $sql = "select nomeremetenteemail, emailremetente from lda_configuracao";
-                    $rs = execQuery($sql);
+                    $rs = DB::execQuery($sql);
-                    $row = mysql_fetch_array($rs);
+                    $row = mysqli_fetch_array($rs);
                     $from = $row['emailremetente'];
                     $fromname = $row['nomeremetenteemail'];
@@ -54,9 +55,9 @@ function sendMailAnexo($to, $subject,$body,$arquivos=array(),$from=&quot;&quot;,$fromname=
 		if(empty($from))
                 {
                     $sql = "select nomeremetenteemail, emailremetente from lda_configuracao";
-                    $rs = execQuery($sql);
+                    $rs = DB::execQuery($sql);
-                    $row = mysql_fetch_array($rs);
+                    $row = mysqli_fetch_array($rs);
                     $from = $row['emailremetente'];
                     $fromname = $row['nomeremetenteemail'];
@@ -124,16 +125,16 @@ function setTentativaLogin($usuario)
 {
 	 $ipaddr = $_SERVER["REMOTE_ADDR"];
 	 $sistema = SISTEMA_CODIGO;
-	 $query = "insert into sis_errologin (sistema, usuario,ip) values('$sistema','$usuario','$ipaddr')";
-	 execQuery($query) or die("Ocorreu um erro inesperado ao logar erro de entrada");
+	 $query = "insert into sis_errologin (sistema, usuario,ip) values('".DB::esc($sistema)."','".DB::esc($usuario)."','".DB::esc($ipaddr)."')";
+	 DB::execQuery($query) or die("Ocorreu um erro inesperado ao logar erro de entrada");
 }
 //exclui da tabela de erros de login, as tentativa sem sucesso de acesso ao sistema
 function delTentativaLogin($usuario)
 {
 	 $sistema = SISTEMA_CODIGO;
-	 $query = "delete from sis_errologin  where usuario='$usuario' and sistema = '$sistema'";
-	 execQuery($query) or die("Ocorreu um erro inesperado ao excluir tentativas de acesso");
+	 $query = "delete from sis_errologin  where usuario='".DB::esc($usuario)."' and sistema = '".DB::esc($sistema)."'";
+	 DB::execQuery($query) or die("Ocorreu um erro inesperado ao excluir tentativas de acesso");
 }
 /*---------------------------------------------------------------------------
@@ -147,12 +148,12 @@ function usaRecaptcha($usuario)
 	$sistema = SISTEMA_CODIGO;
 	$query = "select * from sis_errologin
-                  where usuario='$usuario' and sistema = '$sistema'";
+                  where usuario='".DB::esc($usuario)."' and sistema = '".DB::esc($sistema)."'";
-	$rs = execQuery($query);
+	$rs = DB::execQuery($query, MYSQLI_STORE_RESULT);
 	//se houver tentativas registradas retorna true para exibir o controle recaptcha
-	return (mysql_num_rows($rs) >0) ;
+	return ($rs->num_rows >0) ;
 }
@@ -170,13 +171,13 @@ function autentica($login, $pwd, $tipo)
         $query = "select idsolicitante as id, nome, confirmado, email
                             from lda_solicitante
-                            where cpfcnpj='$login' and chave = '".md5($pwd)."' ";
+                            where cpfcnpj='".DB::esc($login)."' and chave = '".DB::esc(md5($pwd))."' ";
-        $rs = execQuery($query);
+        $rs = DB::execQuery($query, MYSQLI_STORE_RESULT);
-        if (mysql_num_rows($rs) !=0) 
+        if ($rs->num_rows !=0) 
         {
-                $row = mysql_fetch_array($rs);
+                $row = mysqli_fetch_array($rs);
         }
         else
         {
@@ -213,11 +214,11 @@ function getDiretorio($sis = &quot;lda&quot;){
 	$query = "select diretorioarquivos from lda_configuracao";
-	$rs = execQuery($query);
+	$rs = DB::execQuery($query, MYSQLI_STORE_RESULT);
-	if (mysql_num_rows($rs) !=0) 
+	if ($rs->num_rows !=0) 
 	{
-		$row = mysql_fetch_array($rs);
+		$row = mysqli_fetch_array($rs);
 		$retorno = $row['diretorioarquivos'];
 	}
@@ -231,20 +232,21 @@ function getURL($sis = &quot;alb&quot;){
 	$query = "select urlarquivos from lda_configuracao";
-	$rs = execQuery($query);
+	$rs = DB::execQuery($query);
-	if (mysql_num_rows($rs) !=0) 
+	if ($rs->num_rows !=0) 
 	{
-		$row = mysql_fetch_array($rs);
+		$row = mysqli_fetch_array($rs);
 		$retorno = $row['urlarquivos'];
 	}
 	return $retorno;
 }
-
+// Transformada em caminho alternativo para DB::esc($param)
 function prepData($var) {
-  $conn = db_open();
+	return DB::esc($var);
+  /*$conn = db_open();
   if (get_magic_quotes_gpc()) {
     $var = stripslashes($var);
@@ -254,22 +256,22 @@ function prepData($var) {
   db_close($conn);
-  return $retorno;
+  return $retorno;*/
 }
 function logger($msg) {
  $usuario = getSession("uid");
- $usuario = empty($usuario)?"SYSTEM":$usuario;
+ $usuario = prepData(empty($usuario)?"SYSTEM":$usuario);
  // Ugly fix pra nao permitir salvar senha em banco.
  unset($_POST["senha"]);
- $mensagem = $msg;
+ $mensagem = prepData($msg);
  $datahora = "now()";
  $dados_post = prepData(serialize($_POST));
  $dados_get = prepData(serialize($_GET));
  $dados_session = prepData(serialize($_SESSION));
- $ipaddr = $_SERVER["REMOTE_ADDR"];
+ $ipaddr = prepData($_SERVER["REMOTE_ADDR"]);
  $query = "insert into sis_log (usuario,mensagem,datahora,dados_get,dados_post,ipaddr) values('$usuario','$mensagem',$datahora,'$dados_get','$dados_post','$ipaddr')";
  execQuery($query) or die("Erro logando");
@@ -9,8 +9,9 @@
 ***********************************************************************************/
 	include_once("../inc/autenticar.php");
-	include_once("../class/solicitante.class.php");
-	
+	include_once("../inc/config.php");
+	include_once(DIR_CLASSES_LEIACESSO."/solicitante.class.php");
+	include_once(DIR_CLASSES_LEIACESSO."/db.class.php");
 	$erro   = "";	//grava o erro, se houver, e exibe por meio de alert (javascript) atraves da funcao getErro() chamada no arquivo do formulario. ps: a função é declara em inc/security.php
@@ -26,16 +27,16 @@
 		$sql = "select chave from sis_usuario where idusuario = $idusuario";
-		$rs = execQuery($sql);
+		$rs = DB::execQuery($sql);
-		if(mysql_num_rows($rs) == 0)
+		if(mysqli_num_rows($rs) == 0)
 		{
 			$erro = "Usuário não encontrado";
 			return false;
 		}
 		else
 		{
-			$row = mysql_fetch_array($rs);
+			$row = mysqli_fetch_array($rs);
 			$chave = $row['chave'];
 			if(md5($senhaatual) != $chave)
@@ -55,9 +56,9 @@
                          chave = '".md5($novasenha)."'
 			WHERE idusuario = $idusuario";
-		if (!execQuery($sql)) 
+		if (!DB::execQuery($sql)) 
 		{
-			$erro = "Erro ao alterar senha do solicitante";
+			$erro = "Erro ao alterar senha do solicitante. ".mysqli_error(DB::conn());
 		}
                 else
                 {
@@ -8,6 +8,8 @@
  modificá-lo sob os termos da Licença GPL2.
 ***********************************************************************************/
+include_once("../class/db.class.php");
+
 ?>
 <input type="hidden" name="idsolicitante" value="<?php echo $idsolicitante;?>">
 <table align="center" cellpadding="0" cellspacing="1">
@@ -19,8 +21,8 @@
                                     Destino:
                                     <select name="idsecretariaselecionada" id="idsecretaria">
                                             <option value="">----</option>		
-                                            <?php $rsSic = execQuery("select idsecretaria, nome from sis_secretaria where ativado = 1 order by nome"); ?>
-                                            <?php while($rowSic=mysql_fetch_array($rsSic)){?>
+                                            <?php $rsSic = DB::execQuery("select idsecretaria, nome from sis_secretaria where ativado = 1 order by nome"); ?>
+                                            <?php while($rowSic=mysqli_fetch_array($rsSic)){?>
                                                         <option value="<?php echo $rowSic['idsecretaria'];?>" <?php echo $rowSic['idsecretaria']==$idsecretariaselecionada?"selected":""; ?>><?php echo $rowSic['nome'];?></option>
                                             <?php }?>
                                     </select>
	@@ -82,7 +82,7 @@ if($pgs > 1 )		@@ -82,7 +82,7 @@ if($pgs > 1 )
82	}	82	}
83		83
84	?>	84	?>
85	-   Pág.:	85	+   Pág.:
86	<select onchange="document.getElementById('pagina').value=this.value;document.getElementById('formulario').submit();">	86	<select onchange="document.getElementById('pagina').value=this.value;document.getElementById('formulario').submit();">
87	<?php for($x=1;$x<=$pgs;$x++){?>	87	<?php for($x=1;$x<=$pgs;$x++){?>
88	<option value="<?php echo $x;?>" <?php echo ($pagina==$x)?"selected":"";?>><?php echo $x;?></option>	88	<option value="<?php echo $x;?>" <?php echo ($pagina==$x)?"selected":"";?>><?php echo $x;?></option>