Examen nivel 2 — PHP · GUIDINEE.COM

Examen — preguntas inéditas

12 preguntas inéditas: recuerdo (25 %) + aplicación (50 %) + arbitraje (25 %) sobre PHP y la Web.
Responde a todo y pulsa Corregir: aparecerán tu puntuación y las explicaciones.

2.1 · Recuerdo

1. ¿Qué contienen $_GET y $_POST?

Los archivos del servidor Los registros de errores PHP Los datos enviados por GET (URL) y por POST (cuerpo), recuperados del lado del servidor Las preferencias del navegador

GET: datos en la URL; POST: datos en el cuerpo — leídos vía las superglobales.

2.1 · Aplicación

2. Riad muestra el nombre introducido en su formulario. ¿Qué línea es segura?

echo stripslashes($_POST['nom']); echo '' . $_POST['nom'] . ''; echo $_POST['nom']; echo htmlspecialchars($_POST['nom'] ?? '', ENT_QUOTES, 'UTF-8');

htmlspecialchars neutraliza el HTML/JavaScript inyectado: la visualización queda como texto.

2.1 · Arbitraje

3. Un colega afirma que su validación JavaScript basta y quiere suprimir los controles PHP. ¿Veredicto de Riad?

A rechazar: el cliente es evitable, solo la validación del servidor protege A sustituir por capturas de pantalla del formulario A aceptar: el JavaScript cubre todos los casos A aceptar solo para formularios pequeños

JavaScript desactivado, código modificado o petición forjada: el cliente nunca protege.

2.2 · Recuerdo

4. ¿Cuál es la diferencia entre una cookie y una sesión?

La cookie necesita una base de datos, la sesión no La cookie guarda los datos del lado del cliente (modificables), la sesión del lado del servidor (seguros) Ninguna, son dos nombres para lo mismo La sesión expira enseguida, la cookie nunca

Datos de confianza en sesión (servidor); preferencias no sensibles en cookie.

2.2 · Aplicación

5. Riad programa la conexión de los miembros. ¿Qué encadenamiento es correcto?

Poner el identificador en una cookie modificable Comparar con md5 sin sesión Guardar la contraseña en claro y luego comparar las cadenas password_verify sobre el hash, session_regenerate_id, luego $_SESSION['user_id']

Comprobación sobre el hash, ID regenerado contra la fijación, identidad del lado del servidor.

2.2 · Arbitraje

6. Un miembro cambia el id en la URL y ve los datos de otro. ¿Qué regla faltaba?

La autorización: comprobar el DERECHO sobre ese recurso, no solo la conexión Ninguna, es un uso normal Una cookie adicional Una fuente más grande

Conectado no quiere decir autorizado: cada recurso controla su acceso.

2.3 · Aplicación

7. Riad factoriza su menú duplicado en diez páginas. ¿Qué hace?

Elimina el menú del sitio Crea header.php una vez y lo incluye por require en cada página Incluye include $_GET['page'] sin control Recopia el menú una undécima vez por seguridad

Escribir una vez, incluir en todas partes: una modificación en un solo lugar.

2.3 · Aplicación

8. Riad recibe una foto de evento vía $_FILES. ¿Qué práctica es correcta?

Guardar en una carpeta donde PHP se ejecuta para previsualizar Confiar en la extensión declarada Comprobar el tipo real y el tamaño, renombrar, guardar sin ejecución PHP Conservar el nombre de origen y mostrarlo enseguida

Subida = entrada hostil: tipo real, renombrado, almacenamiento sin ejecución.

2.3 · Arbitraje

9. Un colega propone include $_GET['page'] para cargar las páginas dinámicamente. ¿Veredicto?

A sustituir por más copiar-pegar A aceptar: es el método recomendado A aceptar con un tema bonito A rechazar: inclusión de archivo arbitrario — no incluir nunca una ruta de usuario sin control estricto

Una ruta de usuario incluida sin control deja al atacante cargar archivos arbitrarios.

2.4 · Recuerdo

10. ¿Cómo guardar y mostrar una fecha correctamente?

Guardar en formato ISO (AAAA-MM-DD) y formatear solo al mostrar Guardar 25/07/2026 y mostrar tal cual Guardar el nombre del día en letras No guardar nunca fechas

ISO: ordenable, no ambiguo, estándar en base; el formato local solo es visualización.

2.4 · Aplicación

11. Riad debe validar el correo de un nuevo miembro. ¿Qué elige?

Ninguna validación, el campo es opcional filter_var($email, FILTER_VALIDATE_EMAIL) — más fiable Una regex casera copiada sin probar Un control de longitud únicamente

Caso corriente = filtro probado; regex reservada a patrones de negocio específicos.

2.4 · Aplicación

12. El boletín debe salir a 500 miembros. ¿Qué solución?

Datos de usuario inyectados en las cabeceras La función mail() básica en bucle Una biblioteca dedicada (PHPMailer, Symfony Mailer) con SMTP autenticado Correos escritos a mano uno por uno

Biblioteca dedicada: autenticación, adjuntos, entregabilidad — cabeceras blindadas.

¿Y ahora qué?

Puntuación ≥ 80 %: pase al Nivel 3 — bases de datos (PDO, consultas preparadas) y programación orientada a objetos, sobre las bases web adquiridas aquí.
Puntuación 60-79 %: repase las secciones falladas (2.1 validación del servidor, 2.2 sesiones, 2.3 inclusiones/subidas, 2.4 DateTime/filter_var) y vuelva a hacer los retos 48h.
Puntuación < 60 %: reconstruya el proyecto de Riad paso a paso (formulario validado, conexión en sesión, sitio factorizado, fechas y correos), luego vuelva a pasar la prueba.
En todos los casos: conserve los reflejos web — no confiar nunca en las entradas, htmlspecialchars antes de mostrar, contraseñas con hash, subidas tratadas como hostiles.