Erreur Fonction Fetch()

Bonjour,

Je me suis renseigné sur le net mais je n'ai pas trouvé de réponse à mon problème.
J'aimerais simplement afficher un profil d'utilisateur qui proviens d'une table, le code :

Code:

---

1 2 3 4 5 6 7 8 9 10 11 12 13

$sql = 'SELECT * FROM user WHERE identifiant =' . $_GET["user"]; $stmt = $dbh->query($sql); while ($row = $stmt->fetch(PDO::FETCH_ASSOC)) { echo "<img src='" . $row["picture"] . "'>"; echo "Pseudo : " . $row["identifiant"]; echo "Adresse eMail" . $row["email"]; echo "Mot de passe : " . $row["mdp"]; echo "Sexe : " . $row["sexe"]; echo "Age : " . $row["age"]; echo "Rang : " . $row["groupe"]; }

---

le message d'erreur : Fatal error: Call to a member function fetch() on a non-object in C:\wamp\www\phpex\Reforged\view\profil.php on line 5.

Ce qui me surprend c'est que j'ai exactement le même code pour afficher autre chose et la ça fonctionne :

Code:

---

1 2 3 4 5 6 7 8 9

$sql = "SELECT * FROM candidat WHERE id_candidat=" . $id_candidat; $stmt = $dbh->query($sql);   while ($row = $stmt->fetch(PDO::FETCH_ASSOC)) { echo "<h2>" . $row['titre'] . "</h2>"; echo "<p>" . $row['message'] . "</p>"; }

---

La seul différence :
$id_candidat = unique + auto inc.
$_GET["user"] = unique (je m'en sert pour identifier les profils)

Bonjour,

:alerte: NE JAMAIS mettre de variable $_GET ou $_POST directement dans une requête !!
On utilise les requêtes préparées.

Code:

---

1 2 3

$sql = 'SELECT * FROM user WHERE identifiant = :user '; $stmt = $dbh->prepare($sql); $stmt = $dbh->execute(array( ':user' => $_GET["user"] ));

---

Merci pour votre réponse.

J'ai toujours du mal à comprendre, mon $id_candidat (dans le script qui fonctionne) est égal à un $_GET ($id_candidat = $_GET['id'];) et le code fonctionne.

Pour mon code qui fonctionne pas, j'ai voulu faire de même en faisant : $user = $_GET['user']; et en changeant : WHERE identifiant=" . $user; mais sans succès...

Quel est la différence entre les deux ?

Que vaut $_GET['user'] ?

Est-il numérique ?
sinon (voire toujours), mettre des ' ' autour dans la requête.

Cela dit, rien ne vaut une bonne requête préparée.

D'abord concernant ton problème d'origine :
Je parie que le champ id_candidat de ta table candidat est un nombre alors que le champ identifiant de ta table user est une chaine.
Dans une condition SQL, les chaines doivent être placées entre quotes :

Code:

---

SELECT * FROM user WHERE identifiant = 'celira'

---

Code:

---

SELECT * FROM candidat WHERE id_candidat = 42

---

Ensuite, par rapport à ce dont parle notre ami dalmatien (;)) :
Injecter directement les données envoyées par un utilisateur, c'est une magnifique faille SQL.
Si ton utilisateur renseigne comme identifiant toto' OR '1'='1, le code $sql = "SELECT * FROM user WHERE identifiant ='" . $_GET["user"]."' "; va te remonter toute la table user :roll: