Discussion :

[psychoBob]

Bonjour,

C'est une question super simple, mais qui m'occasionne un doute subit :

Est-ce que :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
 
$variable=mysql_real_escape_string(htmlspecialchars($_POST[variable]));

Est identique à :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
 
$variable=mysql_real_escape_string($_POST[variable]);
$variable=htmlspecialchars($variable);

Ou est-ce que la première solution est-une erreur ?

Si la première solution donne le même résultat que la seconde, est-ce qu'il y a des différences, en terme de temps d'execution par exemple ?

[Swoög]

alors, il y a une légère erreur :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

$variable=mysql_real_escape_string(htmlspecialchars($_POST['variable']));

est équivalement à

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
$variable=htmlspecialchars($_POST['variable']);
$variable=mysql_real_escape_string($variable);

Je ne pense pas qu'il y ait de différence significative au niveau du temps d'éxecution dans l'absolue, c'est la première solution qui devrait être la plus rapide (un stockage dans une variable de moins ^^)

[psychoBob]

Ok

Oui l'ordre peut être important dans certain cas.

Mais bon cela fonctionne, donc ça n'est pas une faille pour la sécurité, à priori.

[Swoög]

Ok

Oui l'ordre peut être important dans certain cas.

Mais bon cela fonctionne, donc ça n'est pas une faille pour la sécurité, à priori.

Certe, dans ce cas ça n'a pas l'air de changer grand chose, mais c'est important si les fonctions font traitements très différents

[Yogui]

Salut

Hum, ce sujet a été traité maintes fois ici : htmlspecialchars() ne devrait pas être utilisée pour stocker en BDD mais uniquement pour afficher.