Discussion :

[disciplined]

Bonjour,

Pour se protéger des Sql Injection je voudrais toujours faire appel à des requêtes paramétrées.
Pour cela j'aimerais créer une fonction "générique" destinée à toutes les requêtes paramétrées de mon appli du style :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

function executer_requete_param($sql,$params){}

où $sql = la requête sql et $param = le tableau des paramètres de la requête.

Je dois donc lier au PDOStatement un nombre variable de paramètres en fonction de la requête

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
8
 
$n=1;
foreach ($params as $param){
 
     $PDOstmt->bindParam($n,$param)
     $n++;
}
PDOstmt->execute();

Cependant, à l’exécution du PDOStatement tous les paramètres liés pointent sur le dernier passé dans la boucle. En définitive je me retrouve avec tous les paramètres possédant la même valeur, celle du dernier paramètre. Chose catastrophique pour l’exécution de la requête SQL .

Comment lier le paramètre avant qu'il ne soit écraser par le suivant ?
Est t-il possible d'envoyer à la fonction BindParam() tous les paramètres en une seule fois sous forme de tableau ?
J'en viens également à m'interroger sur le bien fondé d'une telle fonction automatisant les requêtes paramétrées vu que peu de personnes ne semblent rencontrer ce problème
Merci

[CinePhil]

Ce qu'il faut surtout, c'est typer les paramètres en s'assurant de comparer une colonne ou expression numérique à un paramètre numérique, une colonne ou expression date à un paramètre date, une colonne ou expression textuelle à un texte.

Vouloir rajouter une couche à PDO me semble superflu.

[stealth35]

pourquoi faire bindParam, tu peux direct mettre un array dans execute

[tse_jc]

Bonjour

Pour se protéger des Sql Injection je voudrais toujours faire appel à des requêtes paramétrées.
Pour cela j'aimerais créer une fonction "générique" destinée à toutes les requêtes paramétrées

Vous pouvez toujours lire ceci :
http://www.developpez.net/forums/d12...njections-sql/

Cependant, à l’exécution du PDOStatement tous les paramètres liés pointent sur le dernier passé dans la boucle.

Ceci est normal. Il vous faut faire l'execute dans la boucle for each.