apostrophe et insertion en BDD

Version imprimable

13/11/2006, 22h22
oceane751

apostrophe et insertion en BDD

bonjour à tous,
voilà lorsque je veux faire une insertion diverse, par exemple (entre autre) la description d'un produit, et que dans cette description il y a un " ' " par exemple : d'utilisation, et bien ça ne s'insere pas à cause du " ' "
mais je ne sais pas comment il faudrait que je fasse pour que l'insertion se deroule normalement avec ce " ' "

ps : j'utilise une BDD mysql, easyphp 1.7

merci d'avance pour vos réponses..
13/11/2006, 23h06
Eusebius

mysql_real_escape_string
14/11/2006, 08h58
Henry9

Au pire, tu peux toujurs activé les magic quotes qui vont rajouté les slash à côté des apostrophes.

Ensuite, pour faire afficher les donnés, tu fait un strislashes.
14/11/2006, 09h41
Eusebius

Citation:

Envoyé par Henry9

Au pire, tu peux toujurs activé les magic quotes qui vont rajouté les slash à côté des apostrophes.

Ensuite, pour faire afficher les donnés, tu fait un strislashes.

Ou alors, tu utilises la fonction que je t'ai donné, qui évite les effets de bord des magic quotes, et qui a été faite spécialement pour cet usage, spécifiquement pour MySQL... :?
14/11/2006, 10h35
Mr N.

Citation:

Envoyé par Henry9

Au pire, tu peux toujurs activé les magic quotes qui vont rajouté les slash à côté des apostrophes.

Berk berk et reberk !
C'est une vraie plaie ces magic_quotes. Il faut les désactiver. De toutes façons en PHP6 elles disparaitront et c'est tant mieux.
Pourquoi c'est mal ?
1. Ca suppose que toute données qui arrivent à php va être forcément mis en base de données...
2. Ca ne prend pas en compte les caractères spéciaux pour mysql. Les caractères à échapper sont propres à chaque sgbd.
3. ...

Citation:

Envoyé par Henry9

Ensuite, pour faire afficher les donnés, tu fait un strislashes.

Faux ! Les antislashes ajoutés par magic_quotes disparaissent une fois les données en bases. Donc pas besoin de stripslasher pour faire un affichage. A moins bien sur que tu t'amuses à repasser derrière magic_quotes :marteau: ...

merci pour vos responses
mais j'ai mis ça :

Code:

1
2
3
4
5
6
7
 
$sql = "INSERT INTO produit (designation_produit, prix_produit, type_produit,  marque_produit, caracteristique, image, stock_produit, frais_port)
VALUES ('".$_POST['designation']."', '".$_POST['prix']."', '".$_POST['type']."', '".$_POST['marque']."', '".$_POST['caracteristique']."',
'".$_POST['photo']."', '".$_POST['stock']."', '".$_POST['fraisport']."' )";
$quer  = mysql_query($sql);
mysql_real_escape_string($_POST['caracteristique']);
$aff = mysql_affected_rows();

mais ça ne s'insere pas....:roll:

17/11/2006, 18h27
Eusebius

- passe tes requêtes comme indiqué dans ma signature
- utilise mysql_real_escape_string comme indiqué dans la doc (je suis pas sûr que ça soit très sain de l'utiliser sur $_POST).

ba oauis mais c'est sur ce champs qu'il y a un pb avec les " ' "

Code:

1
2
3
4
5
6
7
8
9
10
11
 
$caracteristique = $_POST['caracteristique'];
$sql = "INSERT INTO produit (designation_produit, prix_produit, type_produit,  marque_produit, caracteristique, image, stock_produit, frais_port)
VALUES ('".$_POST['designation']."', '".$_POST['prix']."', '".$_POST['type']."', '".$_POST['marque']."', '".$_POST['caracteristique']."',
'".$_POST['photo']."', '".$_POST['stock']."', '".$_POST['fraisport']."' )";
mysql_escape_string($caracteristique);
 
echo $sql."type marque";
 
$quer  = mysql_query($sql) or die(mysql_error());
$aff = mysql_affected_rows();

bon j'ai ça comme dans le tutoriel :

Code:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
 
function quote_smart($value)
{
   // Stripslashes
   if (get_magic_quotes_gpc()) {
     $value = stripslashes($value);
   }
   // Protection si ce n'est pas une valeur numérique ou une chaîne numérique
   if (!is_numeric($value)) {
     $value = "'" . mysql_real_escape_string($value) . "'";
   }
   return $value;
}
 
$sql = sprintf ("INSERT INTO produit (designation_produit, prix_produit, type_produit,  marque_produit,  image, stock_produit, frais_port, caracteristique)
VALUES ('".$_POST['designation']."', '".$_POST['prix']."', '".$_POST['type']."', '".$_POST['marque']."', '".$_POST['photo']."', 
'".$_POST['stock']."', '".$_POST['fraisport']."', '".$_POST['caracteristique']."'",
 quote_smart($_POST['caracteristique']));
 
 
//mysql_escape_string($caracteristique);
 
echo $sql."type marque";
 
$quer  = mysql_query($sql) or die(mysql_error());
$aff = mysql_affected_rows();

mais bon ça ne marche pas plus....

17/11/2006, 19h10
Mr N.

Quel est le résultat du echo $sql ?
17/11/2006, 19h52
oceane751

INSERT INTO produit (designation_produit, prix_produit, type_produit, marque_produit, image, stock_produit, frais_port, caracteristique) VALUES ('', '', 'ordinateur de bureau', 'Hewlett Packard', '', '', '', 'Manuel d'utilisation: description de cette caracteristique
'type marqueErreur de syntaxe près de 'utilisation: description de cette caracteristique
'' à la ligne 3

tu n'utilises pas très bien le sprintf.
Essaie plutot ça :

Code:

1
2
3
4
5
6
7
8
9
10
11
12
 
$sql = sprintf ("INSERT INTO produit (designation_produit, prix_produit, type_produit,  marque_produit,  image, stock_produit, frais_port, caracteristique)
VALUES (%s, %s, %s, %s, %s, %s, %s, %s)",
 quote_smart($_POST['designation']),
 quote_smart($_POST['prix']),
 quote_smart($_POST['type']),
 quote_smart($_POST['marque']),
 quote_smart($_POST['photo']),
 quote_smart($_POST['stock']),
 quote_smart($_POST['fraisport']),
 quote_smart($_POST['caracteristique'])
);

ça marche!!!!
merci beaucoup pour ton aide !!:mrgreen:

mais je voudrais savoir si dans mon cas je pouvais me passer de
Code:

1 2 3 4 5 6 7 8 9 10 11 12 13 function quote_smart($value) { // Stripslashes if (get_magic_quotes_gpc()) { $value = stripslashes($value); } // Protection si ce n'est pas une valeur numérique ou une chaîne numérique if (!is_numeric($value)) { $value = "'" . mysql_real_escape_string($value) . "'"; } return $value; }
si oui, qu'est ce que je pourrais utiliser d'autre?

merci...

18/11/2006, 12h02
Mr N.

Pourquoi voudrais-tu t'en passer ? C'est la solution la plus portable et la plus sûre que je connaisse pour insérer des données dans mysql...