Passage de mysqli à mysqli_stmt, boucles while imbriquées

Version imprimable

Bonjour,
Je cherche à lister tous les auteurs (table auteur) de chaque article (table article) grâce à une jointure avec une table de relation (t_article_auteur).
Mon code actuel n'est sans doute pas idéal, mais il fonctionne.

Maintenant, je tente d'utiliser les requêtes préparées, mais je sèche sur 2 boucles while imbriquées : la première boucle ne "boucle pas" (elle ne récupère que le premier article) alors que la deuxième boucle fonctionne comme attendu (elle récupère bien tous les auteurs de l'article retourné par la première).

Code:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
$sql_data = <<<SQL
    SELECT t_article.Titre, t_article.Page, t_article.Numero, t_article.id_article 
    FROM    t_article, ...
    WHERE  conditions sur plusieurs tables
    GROUP BY id_article
    ORDER BY Numero, Page, Titre;
SQL;
$stmt_data=mysqli_prepare($db, $sql_data);
mysqli_stmt_execute($stmt_data);
mysqli_stmt_bind_result($stmt_data, $res_titre, $res_page, $res_numero, $id_parution, $id_article);
$data = array();
// BOUCLE PRIMAIRE (LES ARTICLES)
while (mysqli_stmt_fetch($stmt_data)){
    //AUTEURS
    $sql_auteur = <<<SQL
        SELECT t_auteur.auteur
        FROM	   t_article, t_auteur
                INNER JOIN t_article_auteur ON t_article_auteur.auteur = t_auteur.auteur
        WHERE  t_article_auteur.id_article = ?
        GROUP BY t_auteur.auteur;
SQL;
    //BOUCLE SECONDAIRE (AUTEURS)
    $stmt_auteur=mysqli_prepare($db, $sql_auteur);
    mysqli_stmt_bind_param($stmt_auteur, 'i', $id_article);
    mysqli_stmt_execute($stmt_auteur);
    mysqli_stmt_bind_result($stmt_auteur, $res_auteur);
    $cell_auteur = array();
    while (mysqli_stmt_fetch($stmt_auteur)) {
            $cell_auteur[]=$res_auteur;
            }
    $cell_val_auteur= implode("\n", $cell_auteur);
 
$data[] = <<<HTML
<tr>
    <td class="alignc">
        {$res_numero}
    </td>
    <td class="alignr">
        {$res_page}
    </td>
    <td>
        <a href="http://localhost/articles-criteres-croises-tableau-details-secu-pour-ddk3_prep/pdf/{$id_parution}/{$id_article}.pdf" target='_blank'>{$res_titre}</a>               
    </td>
    <td>
        {$cell_val_auteur}
    </td>
</tr>
HTML;
}
?>

Je ne suis pas sûr d'avoir saisi toutes les subtilités de la classe stmt, mais pas sûr non plus de mon php...
Une idée sur mon erreur ?
Merci! :)

Si ça peut aider, le code qui fonctionne :

Code:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
$sql = <<<SQL
    SELECT t_article.Titre, t_article.Page, t_article.Numero, t_article.id_article 
    FROM    t_article, ...
    WHERE  conditions sur plusieurs tables
    GROUP BY id_article
    ORDER BY Numero, Page, Titre;
SQL;
$data = array();
// BOUCLE PRIMAIRE (LES ARTICLES)
$qry = mysqli_query($db, $sql);
while($row = mysqli_fetch_assoc ($qry)) {
    $article = mysqli_escape_string ($db, $row['id_article']);
    //BOUCLE SECONDAIRE (AUTEURS)
    $sql_auteur = <<<SQL
    SELECT  t_auteur.auteur
    FROM     t_article, t_auteur
            INNER JOIN t_article_auteur ON t_article_auteur.auteur = t_auteur.auteur
    WHERE	t_article_auteur.id_article = $article
    GROUP BY t_auteur.auteur;
SQL;
 
    $qry_auteur=mysqli_query($db, $sql_auteur);
    while($row_auteur = mysqli_fetch_row($qry_auteur)) {
        $data_auteur[] = $row_auteur;
        }
    $cell_auteur = implode ("\n", $data_auteur);
 
$data[] = <<<HTML
    <tr>
        <td class="alignc">
            {$row['Numero']}
        </td>
        <td class="alignr">
            {$row['Page']}
        </td>
        <td>
            <a href="pdf/{$row['ref_parution']}/{$row['id_article']}.pdf" target='_blank'>{$row['Titre']}</a>               
        </td>
        <td>
            {$cell_auteur}
        </td>
    </tr>
HTML;
}

27/04/2019, 21h07
Invité
Bonjour,
Code:

1 2 FROM t_article, ... WHERE conditions sur plusieurs tables
1- Ce n'est pas avec ça qu'on risque de te corriger...

2- Concernant la 1ère requête, s'il n'y a pas de paramètres "externes" à passer, inutile de la "préparer".
Un simple mysqli_query() suffit.

Cela dit, je ne maitrise pas mysqli_.
PDO est plus adapté.

Re,

Citation:

Code:

1
2
    FROM    t_article, ...
    WHERE  conditions sur plusieurs tables

1- Ce n'est pas avec ça qu'on risque de te corriger...

Je ne pensais pas que l'erreur venait de la requête, j'avais simplifié au maximum.

Le code détaillé :

Code:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
132
133
134
135
136
137
138
139
140
141
142
143
144
145
146
147
148
149
150
151
152
153
154
155
156
157
158
159
160
161
162
163
164
165
166
167
168
169
170
171
172
173
174
175
176
177
178
179
 
$where   = array();
$data    = array();
 
$auteur       = NULL;
$theme      = NULL;
$min_date   = NULL;
$max_date   = NULL;
 
 
if (isset($_POST['id_auteur']) && (ctype_digit("{$_POST['id_auteur']}"))) {
$auteur = $_POST['id_auteur'];
$where[] = "AUTEUR.id_auteur = " . intval($auteur)." ";
}
 
if (isset($_POST['id_theme']) && (ctype_digit("{$_POST['id_theme']}"))) {
$theme = $_POST['id_theme'];
$where[] = "ddk3_THEME.id_theme = " . intval($theme)." ";
}
 
if (isset($_POST['id_parution_min']) && (ctype_digit("{$_POST['id_parution_min']}"))) {
$min_date = $_POST['id_parution_min'];
$where[] = "PARUTION.id_parution >= " . intval($min_date)." ";
}
 
if (isset($_POST['id_parution_max']) && (ctype_digit("{$_POST['id_parution_max']}"))) {
$max_date = $_POST['id_parution_max'];
$where[] = "PARUTION.id_parution <= " . intval($max_date)." ";
}
 
$where = ( ! empty($where)) ? 'AND ' . implode(' AND ', $where) : NULL;
 
include 'dbConfig.php';
 
 
// SQL commun à toutes les requêtes
$fromAndWhere = <<<SQL
    ARTICLE 
        INNER JOIN PARUTION ON PARUTION.id_parution = ARTICLE.ref_parution 
        INNER JOIN REL_ARTICLE_AUTEUR ON REL_ARTICLE_AUTEUR.ref_article = ARTICLE.id_article
        INNER JOIN REL_ARTICLE_THEME ON REL_ARTICLE_THEME.ref_article = ARTICLE.id_article,
    AUTEUR,
    THEME
    
    WHERE 
        REL_ARTICLE_AUTEUR.ref_auteur = COUSIN.id_auteur 
        AND REL_ARTICLE_THEME.ref_theme = THEME.id_theme
        $where
SQL;
 
include 'functions-search-module.php';
 
 
if (NULL === $auteur) {
    $from = (NULL === $where) ? 'AUTEUR' : $fromAndWhere;
    $sql = "SELECT DISTINCT AUTEUR.id_auteur, AUTEUR.lbl_auteur FROM ".$from."ORDER BY AUTEUR.lbl_auteur ASC;"; 
    $xml->addChild('auteurs', htmlspecialchars(filtrage($sql)));
    $data = array();
    }
 
 
if (NULL === $theme) {
    $from = (NULL === $where) ? 'THEME' : $fromAndWhere;
    $sql = "SELECT DISTINCT THEME.id_theme, THEME.lbl_theme FROM ".$from." ORDER BY THEME.id_theme ASC;";  
    $xml->addChild('themes', htmlspecialchars(filtrage($sql)));
    $data = array();
    }
 
if (NULL === $min_date) {
    $from = (NULL === $where) ? 'PARUTION' : $fromAndWhere;
    $sql = "SELECT DISTINCT PARUTION.id_parution, FROM ".$from." ORDER BY PARUTION.id_parution ASC;";
    $xml->addChild('min_dates', htmlspecialchars(filtrage_date($sql)));
    $data = array();
    }
 
 
if (NULL === $max_date) {
    $from = (NULL === $where) ? 'PARUTION' : $fromAndWhere;
    $sql = "SELECT DISTINCT PARUTION.id_parution, FROM ".$from." ORDER BY PARUTION.id_parution ASC;";
    $xml->addChild('max_dates', htmlspecialchars(filtrage_date($sql)));
    $data = array();
    }
 
$sql_data = <<<SQL
    SELECT 
        ARTICLE.titre AS Titre, 
        ARTICLE.page AS Page, 
        CONCAT("n°", ARTICLE.ref_parution, " - ", PARUTION.lbl_parution) AS Numero,
        ddk3_ARTICLE.ref_parution,
        ddk3_ARTICLE.id_article 
    FROM 
        $fromAndWhere 
    GROUP BY  
        ddk3_ARTICLE.id_article
    ORDER BY 
        ddk3_ARTICLE.ref_parution,
        Page, 
        Titre;
SQL;
 
$stmt_data=mysqli_prepare($db, $sql_data);
//lier paramettres $fromAndWhere??
mysqli_stmt_execute($stmt_data);
mysqli_stmt_bind_result($stmt_data, $res_titre, $res_page, $res_numero, $id_parution, $id_article);
 
$data = array();
// BOUCLE PRIMAIRE (LES ARTICLES)
while (mysqli_stmt_fetch($stmt_data)){
    $sql_auteur = <<<SQL
    SELECT 
            AUTEUR.lbl_auteur
    FROM	
            ARTICLE,
            AUTEUR 
                INNER JOIN REL_ARTICLE_AUTEUR ON REL_ARTICLE_AUTEUR.ref_auteur = AUTEUR.id_auteur
    WHERE	
            REL_ARTICLE_AUTEUR.ref_article = ?
    GROUP BY AUTEUR.id_auteur
    ORDER BY 
            AUTEUR.lbl_auteur,
            ASC;
SQL;
 
$sql_theme = <<<SQL
        SELECT 
                THEME.lbl_theme
        FROM	
                ARTICLE,
                THEME 
                    INNER JOIN REL_ARTICLE_THEME ON REL_ARTICLE_THEME.ref_theme = THEME.id_theme
        WHERE	
                REL_ARTICLE_THEME.ref_article = ?
        GROUP BY THEME.id_theme
        ORDER BY 
                THEME.lbl_theme;
SQL;
 
        $stmt_auteur=mysqli_prepare($db, $sql_auteur);
        mysqli_stmt_bind_param($stmt_auteur, 'i', $id_article);
        mysqli_stmt_execute($stmt_auteur);
        mysqli_stmt_bind_result($stmt_auteur, $res_auteur);
        $cell_auteur = array();
        // BOUCLE SECONDAIRE 1 (LES aUTEURS)
        while (mysqli_stmt_fetch($stmt_auteur)) {
                $cell_auteur[]=$res_auteur;
                }
        $cell_val_auteur= implode("\n", $cell_auteur);
 
        $stmt_theme=mysqli_prepare($db, $sql_theme);
        mysqli_stmt_bind_param($stmt_theme, "i", $id_article);
        mysqli_stmt_execute($stmt_theme);
        mysqli_stmt_bind_result($stmt_theme, $res_theme);
        $cell_theme = array();
        // BOUCLE SECONDAIRE 2 (LES THEMES)
        while (mysqli_stmt_fetch($stmt_theme)) {
                $cell_theme[]=$res_theme;
                }
        $cell_val_theme= implode("\n", $cell_theme);      
 
$data[] = <<<HTML
        <tr>
            <td class="alignc">
                {$res_numero}
            </td>
            <td class="alignr">
                {$res_page}
            </td>
            <td>
                <a href="http://localhost/... /{$id_parution}/{$id_article}.pdf" target='_blank'>{$res_titre}</a>               
            </td>
            <td>
                {$cell_val_auteur}
            </td>
            <td> 
                {$cell_val_theme}
            </td>
        </tr>
HTML;
}

Citation:

s'il n'y a pas de paramètres "externes" à passer

Bonne question...ben je sais pas trop...
Dois-je considérer $fromAndWhere en ligne 92 comme un paramètre externe à lier (et donc préparer la requête sql_data) ? Il est issu de paramètres qui eux sont externes.

Citation:

Un simple mysqli_query() suffit.

Pour info, en ne préparant pas la requête sql_data, les deux boucles (les trois en fait) fonctionnent correctement.

28/04/2019, 11h53
Invité
Bonjour,

1- mysqli_ est un âne mort quand il s'agit de "requêtes préparées".
La syntaxe est trop compliquée...
(c'est pourquoi j'utilise PDO)

2-extrait de ton code :
Code:

1 2 $auteur = $_POST['id_auteur']; $where[] = "AUTEUR.id_auteur = " . intval($auteur)." ";
A partir du moment où tu intègres directement dans la requête des "données externes" (ici $_POST['...']), alors ça ne sert plus à rien de préparer la requête !
Ce serait une FAUSSE sécurité *.

Cela dit, c'est déjà une sécurité d'utiliser intval(), ou SYSTEMATIQUEMENT mysqli_real_escape_string().
Avec ça, tu es tranquille.

* "Préparer une requête" consiste justement à SEPARER les données de la requête elle-même.
Les données elle-même seront traitées à l'éxecution, de manière sécurisée.

MON CONSEIL :
Avant de te lancer dans des trucs complexes, TESTE une requête (correctement) préparée, TRES SIMPLE (une seule donnée "externe",...).
Ça te permettra d'en comprendre et maitriser le fonctionnement.

OU MIEUX :
Passe à PDO ! :ccool:

Citation:

Envoyé par jreaux62

1- mysqli_ est un âne mort

OK, l'image est parlante, j'ai saisi le concept, je me tourne vers le bel étalon de course PDO :)

Citation:

Envoyé par jreaux62

A partir du moment où tu intègres directement dans la requête des "données externes" (ici $_POST['...']), alors ça ne sert plus à rien de préparer la requête

Si je comprends bien,
1 - si je contrôle correctement ce qui sort des formulaires, et si j’échappe correctement les variables des requêtes, je n'aurais pas plus risque d'injection avec ou sans 'préparation' C'est ça ?
[AJOUT] 2- La préparation aurait consisté à écrire
Code:

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 $sql_data = <<<SQL SELECT ARTICLE.titre AS Titre, ARTICLE.page AS Page, CONCAT("n°", ARTICLE.ref_parution, " - ", PARUTION.lbl_parution) AS Numero, ddk3_ARTICLE.ref_parution, ddk3_ARTICLE.id_article FROM ? GROUP BY ddk3_ARTICLE.id_article ORDER BY ddk3_ARTICLE.ref_parution, Page, Titre; SQL; mysqli_stmt_bind_param($stmt_auteur, 's', $fromAndWhere); // ou $stmt_auteur->bind_param('s', $fromAndWhere)
Citation:

Envoyé par jreaux62

TESTE une requête (correctement) préparée, TRES SIMPLE

Ben justement comme tous les bouts de code contenant des 'preparations' fonctionnaient sauf une, je m'imaginais avoir compris. Mal, la preuve...

Citation:

Envoyé par jreaux62

Passe à PDO ! :ccool:

... l'étalon donc:ccool: mais je vais sans doute revenir...:aie:

:resolu: Merci !

[Mode Cours magistral : ON]
A la base, la préparation de requêtes permet de mettre des marqueurs pour les paramètres, de façon à pouvoir exécuter plusieurs fois la même requête avec des valeurs différentes.
Exemple type : tu as un tableau de produits qui doit être enregistrés dans une table PRODUIT, une ligne du tableau correspondant à une ligne dans la table. Tu prépares la requête avec les bons marqueurs d'abord et tu n'as plus qu'à boucler sur le tableau et exécuter la requête avec les données à chaque tour de boucle.

L'effet de bord intéressant des requêtes préparées est que le script va automatiquement échapper les données passées en paramètres, et c'est pour ça qu'on utilise le plus souvent les requêtes préparées.

Donc si ta requête de base est SELECT nom, prenom, date_naissance FROM utilisateur WHERE id = 42, la requête préparée sera SELECT nom, prenom, date_naissance FROM utilisateur WHERE id = ? et il faudra passer l'id en paramètre à l'exécution.

Attention, les noms de tables et colonnes ne peuvent pas être passés en paramètres (et ce même si tu fais une requête dynamique), seules les valeurs sont paramétrables.
Tu peux par exemple faire quelque chose comme ça (exemple avec PDO)
Code:

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 $sql = 'SELECT nom, prenom, date_naissance FROM utilisateur WHERE 1=1 '; $where = []; $paramsWhere = []; if (!empty($_POST['filtre_nom'])) { $where[] = ' nom like ? '; $paramsWhere[] = '%'.$_POST['filtre_nom'].'%'; } if (!empty($_POST['filtre_prenom'])) { $where[] = ' prenom like ? '; $paramsWhere[] = '%'.$_POST['filtre_prenom'].'%'; } // on concatène la requête : $sql .= implode(' AND ', $where); // on prépare $stmt = $pdo->prepare($sql); // on exécute $stmt->execute($paramsWhere); // on exploide $results = $stmt->fetchAll();

30/04/2019, 21h17
ClayStone

Magistral, en effet !! :ave:
Il ne reste plus au boulet qu'à y retourner et éviter de cramer ses quelques neurones...