Discussion :

[defacta]

Salut,

Comment peut-on éviter les attaques SQL, des utilisateurs qui mettent des requêtes SQL dans un champs d'identification ou dans un champs de recherche d'articles, par exemple:

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

SELECT * FROM articles WHERE false; DROP DATABASE

Si le compte a le droit de supprimer la db, ca marche ^^'


Merci,
Vincent.

[sabotage]

Les réponses varient selon la base de donnée utilisée et l'extension utilisée pour se connecter.

La tendance actuelle donnée par PHP est quand meme d'utiliser PDO et des requetes préparées.

[jnore]

Bonjour

Il est utile aussi de faire un contrôle du contenu des variables, et interdire certains mots (Perso c'est ce que je fais).

Il faut échapper les variables ex sur postgres-->pg_escape_string().

[mathieu]

voilà un exemple de protection avec MySQL :
http://php.developpez.com/faq/?page=mysql#mysql-escape