Select query php sql injection - php

Question

I'm doing a test on a code that I had previously written, my goal is to write safer queries but I don't understand why it doesn't work
working query:
$zero = 0;
$inviata = "SI";
$token_inserito = "NO";
$richiesta_non_scaduta = "NO";
$categoria_professionista = $_SESSION['categoria_collaboratore'];
$oggi = date('Y-m-d');
$query_string = "SELECT *
FROM richieste
LEFT JOIN cat_professionisti
ON richieste.categoria_richiesta = cat_professionisti.ID_cat_prof
WHERE richieste.categoria_richiesta = cat_professionisti.ID_cat_prof
AND richieste.ID_Collaboratore = 0
AND richieste.inviata = 'SI'
AND richieste.token_inserito = 'NO'
AND richieste.richiesta_scaduta = 'NO'
AND richieste.categoria_richiesta = '$categoria_professionista'
AND richieste.scadenza_richiesta >= '$oggi'
";
$query_richieste_disponibili = mysqli_query($connessione, $query_string);
<?php while($row = mysqli_fetch_assoc($query_richieste_disponibili)){ ?>
......
<?php } ?>
query not working:
$zero = 0;
$inviata = "SI";
$token_inserito = "NO";
$richiesta_non_scaduta = "NO";
$categoria_professionista = $_SESSION['categoria_collaboratore'];
$oggi = date('Y-m-d');
$query = $connessione->prepare("
SELECT *
FROM richieste
LEFT JOIN cat_professionisti
ON richieste.categoria_richiesta = cat_professionisti.ID_cat_prof
WHERE richieste.categoria_richiesta = cat_professionisti.ID_cat_prof
AND richieste.ID_Collaboratore = ?
AND richieste.inviata = ?
AND richieste.token_inserito = ?
AND richieste.richiesta_scaduta = ?
AND richieste.categoria_richiesta = ?
AND richieste.scadenza_richiesta >= ?");
$query->bind_param('isssii', $zero, $inviata, $token_inserito, $richiesta_non_scaduta, $categoria_professionista, $oggi);
$query_richieste_disponibili = $query->execute();
<?php while($row = mysqli_fetch_assoc($query_richieste_disponibili)){ ?>
......
<?php } ?>
as I repeat my intent is to write queries against sql injection and therefore safer
edit for #Barmar
$zero = 0;
$inviata = "SI";
$token_inserito = "NO";
$richiesta_non_scaduta = "NO";
$categoria_professionista = $_SESSION['categoria_collaboratore'];
$oggi = date('Y-m-d');
$query = $connessione->prepare("
SELECT *
FROM richieste
LEFT JOIN cat_professionisti
ON richieste.categoria_richiesta = cat_professionisti.ID_cat_prof
WHERE richieste.categoria_richiesta = cat_professionisti.ID_cat_prof
AND richieste.ID_Collaboratore = ?
AND richieste.inviata = ?
AND richieste.token_inserito = ?
AND richieste.richiesta_scaduta = ?
AND richieste.categoria_richiesta = ?
AND richieste.scadenza_richiesta >= ?");
$query->bind_param('isssii', $zero, $inviata, $token_inserito, $richiesta_non_scaduta, $categoria_professionista, $oggi);
$query_richieste_disponibili = $query->execute();
<?php
if ($query->execute()) {
$query_richieste_disponibili = $query->get_result();
while($row = $query_richieste_disponibili->fetch_assoc()) { ?>
<?php }
} ?>
I followed your code that you kindly wrote together with the explanation but when I report it it doesn't work, where am I wrong?

Answer 1

$query->execute() doesn't return a result object, it returns TRUE or FALSE. You need to call $query->get_result to get a result that you can fetch rows from.
And since $oggi is a string, you need the s type in bind_param().
$query->bind_param('isssis', $zero, $inviata, $token_inserito, $richiesta_non_scaduta, $categoria_professionista, $oggi);
if ($query->execute()) {
$query_richieste_disponibili = $query->get_result();
while($row = $query_richieste_disponibili->fetch_assoc()) { ?>
......
<?php }
}
Note that it only works this way if you use the mysqlnd driver. If not, you have to use $query->bind_result() and $query->fetch().