Discussion :

[adidas40]

Alors , oui elle suffit à se prémunir des injections MAIS il semblerait qu'il existe une faille avec des encodage exotique tels que GBK ou Big5 cf : http://blog.juliencrouzet.fr/2009/03...tes-preparees/

Je ne connais pas du tout ces requêtes préparées et je trouve ça très intéressant, merci de nous faire partager cet article ;-)

[keaton7]

Interessant article,

Mais en plus, si vous regardez bien l’exemple, j’ai fait 4 requêtes avec une énoncé, donc concrètement, votre serveur SQL n’a analysé qu’une fois votre requête et vous n’avez fait aucune analyse des paramètres.

Qu'est ce qui se cache dans la classe pour que ce soit possible ?

Au moment de

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

$statement->execute(array('doe', 'john', 'john.doe@gmail.com'));

Il y a nécessairement une requête exécutée, comme a chaque appel de PDO::execute() ... ?

Les paramètres sont analyses automatiquement par PDO, mais comment ? Ca m'intéresse de savoir ce que fait la classe PDO pour obtenir ce niveau de sécurité au niveau des caractères.

J'ai développé ma propre classe de gestion des requêtes, d'où mon intérêt pour tout ça, et avec cet article de blog, on est en plein dedans encore. J'ai tendance a vouloir continuer a l'utiliser mais a y ajouter ces fonctions de sécurité passionnantes, en contrepartie, la liste des questions s'allonge .

PS : ce £$%&^ de blog n'est pas accessible avec mon ip anglaise ... Je bénis les proxy au passage.

[grunk]

Les paramètres sont analyses automatiquement par PDO, mais comment ? Ca m'intéresse de savoir ce que fait la classe PDO pour obtenir ce niveau de sécurité au niveau des caractères.

Ce n'est pas propre à PDO mais au SGBD , une requête préparée est en fait compilée avant d'être exécutée.
J'en sais pas plus sur la mecanique de fonctionnement mais cette compilation permet de se prémunir des caractères dangereux.

De plus la préparation des requêtes permet une mise en cache (c'est plus pour l'image , ca ne fonctionne peut être pas comme ca) du coup les requête connue via préparation n'on pas à être analysé de nouveaux.

Fait quelque recherche , tu devrais trouver pa smal de chose sur le sujet qui explique le pourquoi-du-comment-c'est-trop-bien-les-prepare-statement

ce £$%&^ de blog n'est pas accessible avec mon ip anglaise ... Je bénis les proxy au passage.

On t'as pas dis ? tu as deja reçu 2 lettres recommandées pour téléchargement illégal ><

[keaton7]

Merci, je vais me renseigner effectivement, encore des docs a ajouter a ma grande pile de trucs a lire ...

On t'as pas dis ? tu as deja reçu 2 lettres recommandées pour téléchargement illégal ><

Vu le débit des serveurs proxy gratuits ...