Discussion :

[Denis Placé]

Tout dépend de la variable : si c'est une variable écrite en dur dans le script, on peut espérer que tu ne mets pas n'importe quoi dans ton script.
En revanche, si l'information vient de l'extérieur (d'un formulaire par exemple), il faudra protéger la requête en utilisant par exemple une liste des valeurs autorisées et/ou une fonction comme PDO::quote.

C'est bien une variable écrite en dur dans le script.

[badaze]

Bonjour badaze et merci pour ton post très complet,
...

Je pense que la requête fonctionnera si le champ est entouré par le caractère ` car un nombre n'est pas un nom de champ valable et le fameux caractère sert notamment à pouvoir donner à des champs des noms qui correspondent à des mots clés du SQL.

Je viens d'essayer et cela ne change pas.
...

C'est que tu as une autre erreur (cela arrive très souvent) en plus de celle dont je parle. Dans phpmyadmin.

Avec le caractère `



Sans



La requête ne plante pas car il est licite de comparer 2 nombres.

[Celira]

C'est bien une variable écrite en dur dans le script.

Dans ce cas, il y a peu de risques (tant que tu ne codes pas n'importe quoi )

Concernant ta requête : est-ce que tu l'as testée dans PhpMyAdmin (ou assimilé) à partir de la requête réellement exécutée ? Tu peux utiliser PDOStatement::debugDumpParams pour connaitre la requête préparée et ses paramètres, ou simplement faire un echo ou un var_dump.

[Denis Placé]

Bonjour,

Je viens enfin de trouver. Avec :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

$nb_hits_non_nuls = $pdo->query("SELECT COUNT(*) FROM ma_table WHERE ( `".$id_Item."` !=0) ")->fetchColumn() ;

Ça fonctionne.

Merci à tous et à toutes.