Formulaire contenant des cote et des guillemets

Version imprimable

Bonjour, j'apprend a programmer en PHP.

J'ai réussit à me faire un petit formulaire en HTMLqui as pour BUT de lancer une requête SQL sous phpmyadmin.
Code:

1 2 3 4 5 include "connector.php" mysql_query("INSERT INTO Waranty (id,Prénom,Nom,Mail,TEL,société,Adresse1,Adresse2,Pays,Région,Ville,CP,Matériel,Marque,Type,SN,Certificat) VALUES ('','$Nom','$Prenom','$Mail','$TEL','$société','$Adresse1','$Adresse2','$Pays','$Région','$Ville','$CP','$Matériel','$Marque','$Type','$SN','$Certificat') ") or die ("erreur insert ".mysql_error()); //et on referme la connexion mysql_close()
Tout fonctionne correctement.
Le problème c'est que quand dans mon formulaire je mes des ' ou " j'ai une erreur de syntaxe qui sort.

comment faire pour que je puisse entré des cote ou double cote (' ou ") dans mon formulaire PHP ?

mysql_query est complétement obsolète.
Puisque tu debutes, il faut directement passer à PDO et aux requêtes préparées pour ton problème.
Code:

1 2 3 4 5 $pdo = new PDO ('mysql:host=localhost;dbname=tabase', 'login', 'motdepasse'); $sth = $pdo->prepare('INSERT INTO Waranty (Prénom,Nom,Mail,TEL,société,Adresse1,Adresse2,Pays,Région,Ville,CP,Matériel,Marque,Type,SN,Certificat) VALUES (:nom, :prenom, :mail, :tel, :societe, :adresse1, :adresse2, :pays, :region, :ville, :cp, :materiel, :marque, :type, :sn, :certificat)'); $sth->execute(array($Nom,$Prenom,$Mail,$TEL,$société,$Adresse1,$Adresse2,$Pays,$Région,$Ville,$CP,$Matériel,$Marque,$Type,$SN,$Certificat));
Et ne pas de majuscules et accents au petit bonheur la chance dans tes noms (base de données, variables etc.) c'est source d'erreurs.

11/05/2018, 08h42
Fabdunet13

là sa marche plus

Citation:

Warning: PDOStatement::execute(): SQLSTATE[HY093]: Invalid parameter number: parameter was not defined in /var/www/Prog/index.php on line 117

qui correspond à la ligne

Code:

$sth->execute(array($Nom,$Prenom,$Mail,$TEL,$société,$Adresse1,$Adresse2,$Pays,$Région,$Ville,$CP,$Matériel,$Marque,$Type,$SN,$Certificat));

mais sa devrais résoudre mon problème de quotte (') dans mon formulaire ?

Bonjour,
sauf erreur, sabotage à mixé 2 syntaxes de requêtes préparées :

1- avec placeholder anonymes (points d'interrogation) :

Code:

1
2
3
4
5
$sth = $pdo->prepare('INSERT INTO Waranty 
(Prénom,Nom,Mail,TEL,société,Adresse1,Adresse2,Pays,Région,Ville,CP,Matériel,Marque,Type,SN,Certificat) 
VALUES 
(?,?,?,?,.........)'); // Avec autant de ? que de variables
$sth->execute(array($Nom,$Prenom,$Mail,$TEL,$société,$Adresse1,$Adresse2,$Pays,$Région,$Ville,$CP,$Matériel,$Marque,$Type,$SN,$Certificat));

2- avec placeholder nommés :

Code:

1
2
3
4
5
6
7
8
9
10
$sth = $pdo->prepare('INSERT INTO Waranty 
(Prénom,Nom,Mail,TEL,société,Adresse1,Adresse2,Pays,Région,Ville,CP,Matériel,Marque,Type,SN,Certificat) 
VALUES
(:nom, :prenom, :mail, :tel, :societe, :adresse1, :adresse2, :pays, :region, :ville, :cp, :materiel, :marque, :type, :sn, :certificat)');
 
$sth->execute(array(
':nom' => $Nom,
':prenom' => $Prenom,
... // et ainsi de suite...
));

À TOI de lire des tutos :

Comprendre PDO

11/05/2018, 09h47
Fabdunet13
Code:

1 2 3 Alors je pense que si tu utilises la fonction addslashes ca devrait marcher. Ex : $Prenom = addslashes($_POST["TB_Pnom"]);
Sur d'autre forum, on ma aidé directement sans tourné au tour du pot.
mais je vais m’intéressé a ce que tu m'a dit.

Merci
11/05/2018, 10h00
Invité

addslashes n'est pas la solution.

Sauf si tu veux continuer à coder comme ma grand-mère...

La solution est là :

Citation:

Envoyé par sabotage

... passer à PDO et aux requêtes préparées ....
11/05/2018, 11h40
Fabdunet13

:-) Au top, Merci c'est gentil je prend conseils
11/05/2018, 12h36
sabotage

Citation:

Sur d'autre forum, on ma aidé directement sans tourné au tour du pot.

Ba je vais te dire que tu pourras attendre pour que je m'emmerde à t'écrire une autre ligne de code pour toi.
14/05/2018, 18h09
Celira
Pour expliciter un peu le "addslashes n'est pas la solution" de jreaux : certes, ça fonctionne, mais ce n'est pas fait pour ça. On peut enfoncer un clou avec un tournevis si on tape assez fort.

D'ailleurs, il est bien indiqué dans la Doc :

Citation:

Pour échapper les paramètres de base de données, vous devez utiliser les fonctions d'échappement spécifiques à votre base de données (i.e. mysqli_real_escape_string() pour MySQL ou pg_escape_literal(), pg_escape_string() pour PostgreSQL) et ce, pour des raisons de sécurité. Les DBMs ont des spécifications d'échappement différents pour les identifiants (i.e. Nom de table, nom de champ) et pour les paramètres. Quelques DBMS, comme PostgreSQL, fournissent des fonctions d'échapement pour les identifiants, pg_escape_identifier(), mais ce n'est pas le cas pour tous les DBMS. Si c'est le cas, référez-vous au manuel système de votre base de données pour utiliser les bonnes méthodes d'échappement.

Si votre DBMS n'a pas de fonction d'échappement, et qu'elle utilise le caractère \ pour échapper les caractères spéciaux, vous pouvez utiliser cette fonction, mais uniquement si elle est adéquate pour votre base de données. Veuillez garder à l'esprit qu'utiliser la fonction addslashes() pour échapper les paramètres de base de données peut être une faille de sécurité pour la plupart des bases de données.

addslashes échappe uniquement les quotes (simples et doubles) et les anti-slashes. C'est fait pour écrire une chaine entre quotes sans soucis.
Par exemple, dans le code html suivant :

Code:

<button onclick="alert('coucou');">Click</button>

Si le message de la popup alert provient de PHP et contient potentiellement des quotes, on risque d'avoir des problèmes.
Code:

1 2 3 4 <?php $chaine = "C'est horrible ! "; ?> <button onclick="alert(<?php echo $chaine; ?>);">Click</button>
En utilisant addslashes, ça marche beaucoup mieux :
Code:

1 2 3 4 <?php $chaine = $chaine = "C'est horrible ! "; ?> <button onclick="alert(<?php echo addslashes($chaine); ?>);">Click</button>
En bref, addslashes résout ton problème, mais ça laisse une faille d'injection SQL dans ton code.