Discussion :

[Monstros Velu]

Bonjour,

je n'y connais pas grand chose à MySQL, et je n'ai pas trouvé comment écrire cette procédure stockée...

Ici, ça fonctionne :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
8
CREATE DEFINER=`gcetech`@`%` PROCEDURE `TSR`(
IN REC_IDs varchar(50)
)
BEGIN
	Select REC_REF
	From RECO reco
	where reco.REC_ID in (1,3,5);
END

Et ici ça ne fonctionne pas :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
8
CREATE DEFINER=`gcetech`@`%` PROCEDURE `TSR`(
IN REC_IDs varchar(50)
)
BEGIN
	Select REC_REF
	From RECO reco
	where reco.REC_ID in (REC_IDs);
END

(le paramètre passé est "1,3,5")

Pouvez-vous m'indiquer pourquoi, et comment corriger ce problème, s'il-vous-plait ? J'imagine que c'est simple, mais je n'ai pas trouvé d'article en parlant...

Bonne journée !

[ericd69]

salut,

c'est normal, oui c'est simple!

ta variable est interprétée dans la requête comme une valeur unique qu'elle soit un nombre ou une chaine..., c'est un langage fortement typé le sql procédural (sauf les variables globales qui ne le sont pas)...

si tu veux intégrer une liste de valeur comme ça tu dois mettre en place une requête préparée dans ta procédure:

• tu commences par construire ta requête en y intégrant ta variable
• tu prends la chaine résultante pour l'exécuter dans ta requête préparée

ça donne le corps de ta procédure suivant

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
set @s=concat('SELECT REC_REF FROM RECO reco WHERE reco.REC_ID IN (',REC_IDs,')');
prepare exe from @s;
execute exe;
deallocate prepare exe;

ce qui te permet de rentrer dans le monde merveilleux de la programmation avancée et générique...

ps:

• quand tu mais un alias à une table celui ci est sensé être plus court que le nom qu'il remplace (c'est fait pour être fainéant et compacter l'écriture surtout bien sur)
• idéalement il vaudrait mieux tester le contenu de ce qui est passé par la variable texte (surtout si ça vient de php ou autre truc externe) avant de l'injecter dans la requête...

[Monstros Velu]

Bonjour,

j'ai donc utilisé la requête dynamique, merci Eric.

Pour la sécurité, j'ai utilisé un regex qui vérifie en entrée que ma liste de paramètre correspond à ce qui est attendu, de manière à éviter les injections.