Discussion :

[flavors]

Bonjour.
J'ai deux petites question concernant l'affichage en PHP.

La première est en rapport avec un problème que je rencontre actuellement sur l'utilisation des quotes.
Je crée un tableau en HTML dans lequel je mets des données issues d'un POST. Je me protège donc avec un "htmlspecialchars" dans les cellules basiques pas de problème mais je reçois aussi une variable me permettant de faire un rowspan et c'est là que je bloque avec les quotes.

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
 
	<td rowspan="<?php echo htmlspecialchars($_POST['nbAss']);?>"> <?php echo htmlspecialchars($_POST['tc']);?> </td>

J'ai le "htmlspecialchars" du 1er echo qui est mis de la même couleur que si c'était une chaîne de caractères entre " " mais comme c'est entre des balise PHP ça ne devrait pas être le cas non?
Si quelqu'un sait pourquoi cela me fait ça, je veux bien une petit explication, ce serait gentil.
EDIT : je viens de tester en mettant

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
 
<script> alert("tete");</script>

dans un des input de mon formulaire et c'est affiché telquel dans le tableau, le htmlspecialchars ne fait pas effet. Si quelqu'un sait porquoi aussi =).

Mon autre question est plus sur la bonne pratique à adopter.
J'ai vu qu'en général on essaie de séparer le code HTML du PHP dans ce cas la façon que j'utilise est la bonne parcque j'ai un doute ^^.
Faut-il mieux faire comme ça :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
 
	<td rowspan="<?php echo $_POST['nbAss'];?>"> <?php echo $_POST['tc'];?> </td>

ou comme ça :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
 
	echo '<td rowspan="' .$_POST['nbAss']. ' ">' .$_POST['tc']. '</td>';

Merci.

[valaendra]

EDIT : je viens de tester en mettant

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
 
<script> alert("tete");</script>

dans un des input de mon formulaire et c'est affiché telquel dans le tableau, le htmlspecialchars ne fait pas effet. Si quelqu'un sait porquoi aussi =).

Est ce que l'alerte javascript se lance ? Si non, alors le htmlspecialchars() a bien fonctionné (facilement vérifiable en vérifiant dans le code source de la page générée).

[flavors]

Alors il ne se lance pas quand j'utilise "htmlspecialchars" mais il ne se lance pas non plus quand je ne met rien.
j'ai pourtant essayé en ajoutant " ">".

J'ai regardé aussi le code généré avec l'outil developpeur et j'ai bien <script> alert("tete");</script> qui et mis entre mes <td>.
Aprés c'est peut-être parce que justement c'est dans des cellules?

EDIT : Bon ça marche bien en dehors du tableau. Sans "htmlspecialchars" j'ai bien l'alert et avec non. Ca veut dire qu'on ne peut pas faire de JS dans un tableau? je ne le savais pas je vais essayer.

Par contre dans mon fichier j'ai bien

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
 
"> <script>alert("tete");</script>

mais je ne devrais pas avoir les caractéres comme cela &lt ?
Re-EDIT : Le Js s'execute bien dans les cellules d'un tableau dans ce cas, il y a-t-il un moyen de tester si le htmlspecialchars marche bien dans mon tableau?

Merci

[§Gama§]

Pour que ce soit compatible javascript, j'utilise ce code là:

Code PHP :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
8
9
<?php
   function jsspecialchars( $string = '') {
      $string = preg_replace("/\r*\n/","\\n",$string);
      $string = preg_replace("/\//","\\\/",$string);
      $string = preg_replace("/\"/","\\\"",$string);
      $string = preg_replace("/'/"," ",$string);
      return $string;
   }
?>

[flavors]

Bonjour et merci pour votre réponse.

Je ne comprends pas le "pour que ce soir compatible avec javascript". La fonction htmlspecialchars ne fait que générer du code HTML en remplaçant certains éléments par d'autre. Je vois pas quels soucis de compatibilité il peut y avoir.

[§Gama§]

C'est vrai, c'est un peu hors sujet, mais en passant par une fonction intermédiaire, le problème de quote disparait?