Discussion :

[SubZiggy]

Bonjour,

Je transforme mes vieilles fonctions Mysql vers PHP Data Objects et je ne serais pas contre quelques éclaircissements concernant l’échappement des caractères.

Pour faciliter la portabilité du site, j'avais pris l'habitude de désactiver purement et simplement magic_quotes_gpc et de gérer l’échappement dans le code avec la fonction addslashes etc...
Mais j'ai cru comprendre que addslashes présentait quelques failles.

La fonction mysql_real_escape_string() est quant à elle déconseillée.
http://php.net/manual/fr/function.my...ape-string.php

Avec PDO, pour communiquer avec la base de données, je dois apparemment opter pour PDO::query ou PDO::exec si la requête est plutôt destinée à être exécutée une fois et PDO::prepare pour plusieurs fois.


Pour PDO*::prepare, dans la doc il est indiqué

aident à prévenir les attaques par injection SQL en éliminant le besoin de protéger les paramètres manuellement.

http://fr.php.net/manual/fr/pdo.prepare.php

"Aident" ? Dois-je comprendre qu'il faut quand même prendre certaines précautions ?

Pour PDO*::query et exec, c'est encore moins clair pour moi. Il est question de PDO::quote mais:

Si vous utilisez cette fonction pour construire des requêtes SQL, vous êtes vivement invités à utiliser PDO::prepare() pour préparer les requêtes SQL
avec des paramètres liés au lieu d'utiliser PDO::quote() pour interpréter les entrées utilisateur dans la requête SQL.

http://www.php.net/manual/fr/pdo.quote.php

Donc pour une requête avec entrées utilisateurs, je dois aussi utiliser PDO::prepare même si elle est destinée à n'être exécutée qu'une seul fois ??

J'avoue, je comprends plus, y a t'il une possibilité d’échapper proprement PDO::exec et PDO::query ou je les laisse définitivement tomber et je n'utilise que PDO::prepare?

Merci beaucoup pour le coup de main.

[rawsrc]

Salut,

Je vais te filer un bon tuyau pour que tu arrêtes de te faire mal à la tête :
Règle 1 : toujours préparer ses requêtes avec PDO,
Règle 2 : toujours préparer ses requêtes avec PDO,
Règle 3 : toujours préparer ses requêtes avec PDO,
...

Dans 99% des cas pas le peine de t'embêter avec une fois je prépare une autre fois non.
Après en fonction de la base de données attaquée, tu auras parfois l'obligation de te passer de PDO et tout monter à la main car le type de champ par exemple n'est pas pris en charge ex: sous Posgresql avec ARRAY[] et HSTORE.

Pour tous les autres cas, reste cohérent et tient toi toujours à la même règle.

[SubZiggy]

Je vais te filer un bon tuyau pour que tu arrêtes de te faire mal à la tête

Si peu , merci pour elle!