[SQL] Problème de requète

[ceaser]

Voici mon problème :
J'aimerais que à la place de 2007,3 et 4 il y est respectivement les variables $année, $id_trim et $id_service que j'importe d'un formulaire via une méthode post.
Mais quand j'insère ces variables dans la requète sql (avec ou sans " "), cela ne marche pas.
A préciser que lorsque je fais un print des varaibles "$année, $id_trim et $id_service ", j'obtiens bien : "2007,3,4".

Code :

1
2
3
4
5
6
7
8
9
10
11
12
13
 $action = $_POST["action"];
 $année = $_POST["ANNEE"];
 $id_trim=$_POST["TRIMESTRE"];
 $id_service= $_POST["SERVICE"];
 
 $sql = 'SELECT nom_atb,R,I,S from bacterio,atb,bactéries'
        . ' WHERE (bactéries.id_bacterie = bacterio.id_bacterie)'
        . ' AND (atb.id_atb = bacterio.id_atb)'
        . ' AND (bacterio.id_service = "4")'
        . ' AND (bacterio.id_bacterie like "STAU")'
        . ' AND (bacterio.S != "0")'
        . ' AND (bacterio.id_trim = "3")'
        . ' AND (bacterio.annee ="2007") ';

Merci d'avance à tous pour vos réponses !

[koopajah]

Le problème vient du fait qu'entre ' ' les $id ne sont pas interprétés, le plus simples c'est d'entourer la requete par les double quotes deja, et de séparer la requete pour les variables (qui doivent être entourées de ' ' si ce sont des string)

Code php :

1
2
3
4
5
6
7
8
9
10
11
12
13
$action = $_POST["action"];
$annee = $_POST["ANNEE"];
$id_trim=$_POST["TRIMESTRE"];
$id_service= $_POST["SERVICE"];
 
$sql = "SELECT nom_atb,R,I,S from bacterio,atb,bactéries
 WHERE (bactéries.id_bacterie = bacterio.id_bacterie)
 AND (atb.id_atb = bacterio.id_atb)
 AND (bacterio.id_service = '" . $id_service . "')
 AND (bacterio.id_bacterie like 'STAU')
 AND (bacterio.S != '0')
 AND (bacterio.id_trim = '" . $id_trim . "')
 AND (bacterio.annee ='" . $annee  ."')";

Comme dit au dessus, pas besoin de mettre les ' ' si tes champs années, id_trim et id_service sont des int.

Ps: penses a mettre ton code en forme avec le bouton # et évites les accents dans les noms de variables dans le code!

[Celira]

Une remarque : si tu encadres la requete par des doubles quotes (") tu n'as pas besoin de concaténer les variables : les doubles quotes permettent l'interprétation des variables mon explication sur le sujet

[julp]

Il serait également de bon aloi de protéger vos requêtes contre les injections via la fonction mysql_real_escape_string :

Code :

1
2
3
4
$action = mysql_real_escape_string($_POST["action"]);
$annee = mysql_real_escape_string($_POST["ANNEE"]);
$id_trim = mysql_real_escape_string($_POST["TRIMESTRE"]);
$id_service = mysql_real_escape_string($_POST["SERVICE"]);

On pourrait éventuellement s'en passer pour des champs numériques mais encore faut-il s'assurer que les données obtenues correspondent bien à ce type !

Si magic_quotes_gpc est actif (valeur On, voir votre phpinfo), il serait nécessaire d'appliquer d'abord la fonction stripslashes avant mysql_real_escape_string.