Recherche dans plusieurs tables

Bonjour à tous !

Après avoir lutté toute la matinée sur un problème assez bête, je me décide à demander ici, ça doit être trivial et je ne le vois pas ...

Mon soucis : j'ai deux tables "utilisateurs" (en gros une table user et une table admin, je n'ai pas le droit de fusionner les deux).

Quand je veux chercher une personne (par exemple pour récupérer le mot de passe en base et le vérifier au moment d'un login), j'essaie :

Code:

---

'SELECT admin.password, user.password FROM "admin","user" WHERE login=\''.$login.'\' AND id=\''.$id.'\'';

---

Le problème quand je fais ça, c'est qu'il trouve bien le résultat (quand je lance mon exemple, le login et l'id corresponde à un admin) sauf que la requête me renvoie autant de lignes que les deux tables réunies, et chaque ligne contenant le même password, celui que j'ai demandé.

J'ai également essayé quelque chose comme ça :

Code:

---

'SELECT password FROM "admin","user" WHERE login=\''.$login.'\' AND id=\''.$id.'\'';

---

Mais là j'ai une erreur php : Query failed: ERREUR: la référence à la colonne « password » est ambigu .

Comment puis-je corriger ma requête, sachant que dans ce cas de figure, elle ne devrait renvoyer qu'un seul résultat toujours ?

Bonjour,

la modélisation laisse à désirer...


Bref, si vous cherchez un utilisateur qui se trouvent ou non dans la table admin, il vous faudra 2 requêtes distinct et les relier via un union ou un union all selon votre besoin.

Forcément ! Tu fais le produit cartésien des deux tables !

Tu cherches à vérifier la connexion d'un utilisateur, qu'il soit simple utilisateur ou administrateur ?

Ce qui m'étonne quand même, c'est que dans ta requête tu connais déjà l'id de l'utilisateur. C'est donc qu'il est déjà connecté non ?

Le processus classique, c'est :
1) L'utilisateur fournit son login et son mot de passe au système
2) Le système cherche dans la BDD un user ou un admin qui correspond à ce login et à ce mot de passe.

Code:

---

1 2 3 4 5 6 7 8 9

SELECT id FROM user WHERE login = '$login' AND password = MD5('$password') UNION SELECT id FROM admin WHERE login = '$login' AND password = MD5('$password')

---

Si un utilisateur peut figurer dans les deux tables avec deux id différents, cette requête te retournera les deux id.

Et au passage, j'espère que tes variables sont protégées en amont contre les injections SQL.

Je cherche à savoir si c'est un admin ou un user. Et effectivement j'avais mal fait mon exemple, car je n'ai pas l'id ^^.

Je ne peux pas vérifier le password de cette façon, car je le stock crypté avec un salt accolé, donc je dois extraire le password pour faire le calcul et ensuite vérifier.

Pour ce qui est de la protection contre les injections sql, j'ai lu quelques trucs assez vagues, je vais chercher comment faire avec postgresql.

Citation:

---

Envoyé par cyscek

Je cherche à savoir si c'est un admin ou un user. Et effectivement j'avais mal fait mon exemple, car je n'ai pas l'id ^^.

---

Donc mon hypoyhèse et ma solution sont bonnes ?

Citation:

---

Je ne peux pas vérifier le password de cette façon, car je le stock crypté avec un salt accolé, donc je dois extraire le password pour faire le calcul et ensuite vérifier.

---

Il suffit alors de supprimer la fonction MD5 de ma requête. C'était juste pour donner un principe.

Citation:

---

Pour ce qui est de la protection contre les injections sql, j'ai lu quelques trucs assez vagues, je vais chercher comment faire avec postgresql.

---

Ce n'est pas différent avec Postgresql.
C'est juste le principe qu'il ne faut pas donner directement de variables issues de POST ou GET à une requête sans vérifier qu'elles ne contiennent rien de dangereux.

Effectivement la solution était la bonne ;)

J'ai utilisé le mysql_real_escape_string pour vérifier mes variables, ça n'a aucune incidence sur le fait que j'utilise postgresql je présume ?

Utilise plutôt pg_escape_string