Discussion :

[mybofy]

Bonjour

Voici mon code.

Fichier "index.php" (page html classique avec du php dedans)

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
8
9
10
11
 
...
for($ri = 0; $ri < 2; $ri++) {
   $row = pg_fetch_array($res, $ri);
   $idPhoto = $row['id'];
   $nomPhoto = $row['nom'];
   echo $idPhoto. " - " . $nomPhoto . "<br />";
   echo "<img src='photo.php?idPhoto=" . $idPhoto . " />";
   echo "<br />";
}
...

Fichier "photo.php"

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
8
9
10
11
12
 
<?php
$idPhoto0 = $_GET["idPhoto"];
$link = pg_connect("host=...  dbname=...  user=...  password=...");
//$sql = "select id, fichier_vignette  from photos where id=501;"; // MARCHE PARFAITEMENT (après suppr. de //...)
$sql = "select id, fichier_vignette  from photos where id=" .  $idPhoto0 . " ;"; // MARCHE PAS
$res = pg_query($link, $sql);
pg_close($link);
$raw = pg_fetch_result($res, 'fichier_vignette');
header('Content-type: image/jpeg');
echo pg_unescape_bytea($raw);
?>

Il y a visiblement un problème de passage d'argument par $_GET entre index.php et photo.php, puisque avec id=501 c'est OK,
mais avec id=" . $idPhoto0 . " rien ne va.

Mon schéma est sans doute mauvais, mais comment faire ?

Merci de l'aide

[Invité]

Bonjour,

1/ On NE met JAMAIS un $_GET ni un $_POST DIRECTEMENT dans une requête SQL !
On utilise les requêtes préparées.

requête préparée PostGreSQL :

• pg_execute()
• pg_prepare()

Surtout un $_GET, directement modifiable par ma grand-mère dans l'URL.

2/ Que envoie ?

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

echo $_GET["idPhoto"];

[mybofy]

Comme quoi l'oubli de ' peut faire gaspiller beaucoup de temps pour une bêtise... Ou comment faire simple quand on peut faire compliqué.

Merci à jreaux62