Discussion :

[pitoumad]

Bonjour le forum
Je cherche à fiabiliser une requête sql pour qu'elle fonctionne même si les champs NOM et PRENOM contiennent des simples cotes : '

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

$sql="select ID from INDIVIDUS where NOM like '".stripslashes($HTTP_POST_VARS['NOM_IND'])."' and IND_PRENOM like '".stripslashes($HTTP_POST_VARS['PRENOM_IND'])."'";

mais ça plante :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
Warning: SQL error: [Microsoft][ODBC Microsoft Access Driver] 
Syntax error (missing operator) in query expression 'IND_NOM like 'DELL'ERA' and IND_PRENOM like 'DANIEL'LE'

J'ai essayé avec stripslashes, peut être faut-il faire autrement, mais cela me dépasse ....
Pouvez vous m'aider ?
Merci par avance

[kabkab]

Bonjour,
Et si tu écrivais comme ceci :

Code php :

Sélectionner tout - Visualiser dans une fenêtre à part

$sql="select ID from INDIVIDUS where NOM like '".addslashes($HTTP_POST_VARS['NOM_IND'])."' and IND_PRENOM like '".addslashes($HTTP_POST_VARS['PRENOM_IND'])."'";

Je te conseille tout de même de te documenter sur l'injection SQL avant de lancer complètement ton site. Une petite explication ici http://securite.developpez.com/faq/?..._sql_injection

[sabotage]

Dans SQL Server on double les quotes, c'est peut être pareil pour Access

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

$sql="select ID from INDIVIDUS where NOM like '".str_replace("'","''", $_POST['NOM_IND'])."' and IND_PRENOM like '".str_replace("'","''",$_POST['PRENOM_IND'])."'";

[pitoumad]

Bonjour
Le addslashes ajoute une \ de plus, ce n'est pas bon :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
Warning: SQL error: [Microsoft][ODBC Microsoft Access Driver] 
Syntax error (missing operator) in query expression 'IND_NOM like 'DELL\\\'ERA' and IND_PRENOM like 'DANIEL\\\'LE'

Par contre le str_replace donne:

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

select IND_ID from INDIVIDUS where IND_NOM like 'DELL\''ERA' and IND_PRENOM like 'DANIEL\''LE'

donc la bonne syntaxe serait :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

str_replace("'","''", stripslashes($HTTP_POST_VARS['PRENOM_IND']))

je teste et marque résolu si c'est bon ....

A+
et encore merci