Discussion :

[bugwarrior]

Bonjour a tous,

J'ai réalisé une application php dans laquelle il y a un formulaire classique:

nom
prenom
etc ...

Je viens de m'appercevoir que lorsque j'insere un nom ou prénom composé dans ma base, exemple Jean Paul Du Marché, dans ma base j'ai Jean Du.

Pourriez vous m'aider svp ?

Voici ma requete d'insert :

Code php :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
$requete = "Insert into clients (nom,prenom,dateentree,chambre,tv,acompte) 
values ('".$_POST['nom']."','".$_POST['prenom']."','".$_POST['dateentree']."','".$_POST['chambre']."','".$_POST['tv']."','".$_POST['caution']."')";

Merci d'avance.

[bugwarrior]

J'ai trouvé une solution à mon problème.

Celà venait simplement de mon code PHP qui était mal fait :

J'avais ça :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

<input type=hidden name=nom value=<?php echo $_POST['nom'] ?>>

au lieu de ça :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

<input type=hidden name=nom value="<?php echo $_POST['nom'] ?>">

Maintenant je rencontre un autre soucis, j'ai un problème lorsque les nom comporte de '.

Si vous aviez une solution ?

Merci d'avance.

[Doksuri]

salut, il faut que tu echappes les caracteres speciaux (quote ou autre)
php.net/manual/fr/function.addslashes.php

[transgohan]

Je préciserai ceci pour ma part en complément du message précédent :

Il est fortement recommandé d'utiliser les fonctions de protection spécifiques à chaque base de données (telle que mysqli_real_escape_string() pour MySQL et pg_escape_string() pour PostGreSQL), mais si la base de données que vous utilisez n'a pas de fonction spécifique, et que cette base utilise \ pour protéger les caractères spéciaux, vous pouvez utiliser cette fonction.

A noter qu'il n'est pas nécessaire de protéger les variables lors d'une requête préparée sous PDO (aucune idée en ce qui concerne mysqli cependant, et je ne connais pas plus pgsql que cela) car il le fait lui même.

[stealth35]

A noter qu'il n'est pas nécessaire de protéger les variables lors d'une requête préparée sous PDO (aucune idée en ce qui concerne mysqli cependant, et je ne connais pas plus pgsql que cela) car il le fait lui même.

oui mais en non préparée il faut le faire grace a PDO::quote, pour mysqli c'est pareil autant au niveau du préparé que du normale avec mysqli_real_escape_string, il faut aussi bien mettre mysql_set_charset


coté HTML il faut toujours faire un htmlspecialchars

[Doksuri]

je tiens a dire pour ma defense : qu'avec le peut de code, c'est pas evident de savoir qu'il etait sous pdo... xD
et aussi que ca fait un moment que je suis avec pdo (requetes preparees, bindvalues, etc..) donc j'ai plus l'habitude de faire ces manipes