Discussion :

[encoremoi21258]

Bonjour,

Je souhaite savoir si cette façon de faire est dangereuse :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
8
 $partiedunom= $_GET['recherche'];
	try 
	{
	$req_recherche_resultats = $pdo_divers->prepare('SELECT Nom FROM Liste WHERE Nom LIKE ?;');
	$req_recherche_resultats->execute(array("%$partiedunom%"));
	$tableau_final = $req_recherche_resultats->fetchAll();
	} 
	catch (Exception $e) { }

Si oui, comment faire autrement ? Car c'est la seule façon que j'ai trouvé pour permettre de rechercher une partie d'un mot.

Je pose la question car j'ai constaté qu'on peut ajouter un % dans la recherche et il est interprété dans la requête.

Sur mes autres requêtes, j'ajoute les paramètres ainsi:

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

$req_recherche_resultats->bindParam(':ScoreMini', $scoreminimum, PDO::PARAM_INT, 3);

Merci d'avance

[Toufik83]

Bonjour,

Non pas dangereux, et votre requête est bien sécurisée tant que vous la prépariez correctement.

Sinon vous pouvez aussi utiliser les marqueurs nommés comme ce que vous avez fait avec bindParam, et utiliser les pourcentage "%" (de préférence) lors de la récupération de la variable $_GET['recherche'] :

Code php :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
$partiedunom= "%".$_GET['recherche']."%";
try{
   $pdo_divers->prepare('SELECT Nom FROM Liste WHERE Nom LIKE :nom;');
   $req_recherche_resultats->execute(array(":nom"=>$partiedunom));
}catch(PDOException $e){
   echo "Erreur de requête :".$e->getMessage();
}

[encoremoi21258]

Bonjour,

Je suis étonné d'apprendre que pouvoir insérer un pourcent dans une requête n'est pas dangereux. Mais bon je suppose que c'est conçu pour permettre cela.
Je vais tout de même retirer ce caractère de la recherche vu qu'elle n'est pas censée contenir ça.

[ddaweb]

Je vais tout de même retirer ce caractère de la recherche vu qu'elle n'est pas censée contenir ça.

Il arrive que ce caractère se retrouve dans les enregistrements d'une BDD, ce n'est apparemment pas votre cas

J'ai essayé sur une requête identique chez moi, pas de soucis avec le %.

[Toufik83]

Bonjour,

Ce qui est dangereux pour une requête SQL c'est une injection SQL pas les caractères spéciaux comme "% & * ... ", et donc je vous assure que votre requête est bien sécurisée puisque vous utilisez prepare correctement avec les marqueurs.