[SQL] comment "desactiver" une fonction php dans une page?

bonjour à tous !

j'ai un petit problème, ca fait pas mal de temps que je cherche une solution (par moi même ou sur d'autres forums) et je ne trouve toujours pas. je vous explique:

Je propose aux internautes un formulaire permettant de préciser leur pseudo/mail/site web/message. ce formulaire, une fois dument rempli, stock les informations dans une base de donnees SQL. jusque là tout va bien.

ensuite sur une autre page php, je fais lire et lister toutes les données (c'est une sorte de pétition et donc j'affiche le nom et le message de chaque internautes). mais le probleme c'est que si je met comme messsage <?php include(""); ?> dans mon formulaire , dans ma page qui affiche la liste des signataires, php va m'inclure la page appelé par l'include...

pas vraiment malin me direz-vous. bref je me casse la tête, est-ce que vous auriez une solution ?

merci d'avance

bonjour,

J'ai pas tout compris ton soucis, mais une chose est sûr, avec un include tu affichera tout ce qu'il y a dedans...

Je sais pas trop quoi te répondre, mais tu as surement besoin d'utiliser des conditions.

++

Citation:

---

Envoyé par sharrascript

bonjour,

J'ai pas tout compris ton soucis, mais une chose est sûr, avec un include tu affichera tout ce qu'il y a dedans...

Je sais pas trop quoi te répondre, mais tu as surement besoin d'utiliser des conditions.

++

---

c'est plus par sécurité que je cherche a eviter ça. imagine que je sois mal intentionné et qu'à la place de mettre un simple commentaire je mette un code ou une fonction include appelant une page de mon choix, lorsque je vais aller sur la page qui affiche mon message, la page va executer le code. ca reviens un peu a une attaque XSS (cross site scripting).

je ne me trompe pas ?

PROBLEME RESOLU

bon la solution était dans mon bouquin de php :yaisse2:
la fonction htmlspecialchars() permet de convertir les caractères &, ", ', < et > en leur équivalent HTML amp, quot, #o39; , lt, gt....
donc avant j'avais comme code :
<?php echo $resultat['message']; ?>
et maintenant j'ai :
<?php echo htmlspecialchars($resultat['message']); ?>