Requete prepare dynamique

Bonjour,

Je me pose la question sur comment on peux réaliser des requêtes PDO dynamique pour le tri, exemple :

Requête de base

Code:

---

1 2 3

$sql = $DB->prepare(SELECT * ma_table ORDER BY id ASC); $sql->execute(); ....

---

Requête de tri sur le nom croissant

Code:

---

1 2	$sql = $DB->prepare(SELECT * ma_table ORDER BY nom ASC); $sql->execute();

---

Requête de tri sur le nom décroissant

Code:

---

1 2	$sql = $DB->prepare(SELECT * ma_table ORDER BY nom DESC); $sql->execute();

---

Etc pour le prenom, ville, ...

Pour simplifier et rendre le code biens plus léger, quelle méthode utiliser/existe t-il ?

Merci d'avance pour vos lumières.

ceci ne fonctionne pas ?

Code:

---

1 2 3

$sql = $DB->prepare('SELECT * ma_table ORDER BY ? DESC'); $sql->execute(array('nom'));

---

Bonjour et merci pour la réponse,

Il manque la possibilité de changer ASC en DESC

ce-si peux t-il fonctionner ?

Code:

---

1 2 3

$sql = $DB->prepare('SELECT * ma_table ORDER BY ? ?'); $sql->execute(array('nom','ASC'));

---

Le mieux est de faire un test

Seules des valeurs peuvent faire l'objet de paramètres. Les noms SQL (colonnes, tables, bases, etc) ou mot-clés (asc/desc) en sont exclus. D'autant qu'ils se verraient ajoutés des quotes et on s'éloigne quelque peu de leur principe ...

Donc, non, impossible de dynamiser ces parties de requêtes avec une requête préparée (il faut le faire avant la préparation ou avec une requête non préparée). (à se demander si des requêtes préparées sont ici utiles par ailleurs)

Merci julp, c'est bien ce qu'il me semblais :s

Pas gagner d'avoir un code légé et lisible avec un tri multi colonne ....

Alors dans ce cas il faut préparer la requête dynamiquement.

Code:

---

1 2 3 4 5

$nom = 'nom' $req = 'SELECT * ma_table ORDER BY '.$nom; $sql = $DB->prepare($sql); $sql->execute();

---

Donc ce genre de truc va être fonctionnel ? avec la sécu qui va avec ?

Code:

---

1 2 3 4 5

$nom = 'nom'; $tri = 'ASC'; $req = 'SELECT * ma_table ORDER BY '.$nom.' '.$tri; $sql = $DB->prepare($sql); $sql->execute();

---

Oui tout à fait !

Et comme tu la dit, il sera primodial que tu t'assure de la sécurité des paramètres que tu met en dur dans ta requête (soit le nom du champ et l'ordre de tri)

Et si un second son de cloche peut te rassurer:
Je confirme que seul les valeurs peuvent être "bindé". Aucun nom de table ou de champs ni mot clé.

Donc ta solution est bel et bien la bonne.

Merci à vous :)