[Mail] Requete SQL et stripslashes

Version imprimable

Voir 40 message(s) de cette discussion en une page

Bonjour j'envoie un mail de confirmation aux nouveaux inscrits, une fois qu'ils ont rentré l'url l'inscription est confirmée dans la base de donnée.

Maintenant j'ai reussi a faire mon stripslashes et le echo $pseudo marche bien par contre des que je le passe dans la requete sql il me retourne une erreur et seulement la.

j'ai tenter de mettre dans une variable a côté $Stripseudo ou de mettre le stripslashes dans la requete et même erreur.

Le stripslashes pas compatible avec les requete sql ?

require ("admin/conf.php");
Code:

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 if (isset($_GET['pseudo'])) { $pseudo = $_GET['pseudo']; $Stripseudo = stripSlashes($pseudo); $verif = mysql_query("SELECT * FROM `membre` WHERE Pseudo = '".$Stripseudo."' AND Confirm LIKE 'non' "); $row=mysql_fetch_array($verif); $cle = md5($row['Pseudo'].$row['Passe'].$row['Email']); if ($cle == $_GET['cle']) { $valide = "UPDATE membre SET Confirm = 'oui' WHERE Pseudo = '".stripslashes($_GET['pseudo'])."' "; $test = mysql_query($valide) or die("erreur ! ".mysql_error()); echo "Inscription finalisée avec succès ! <a href=\"../index.php\">Retour a l'index</a>"; }else{ echo "lien incorrect : <a href=".$_SESSION['UrlBase']."index.php>Retour a l'index</a>"; } }else{ echo "lien incorrect : <a href=".$_SESSION['UrlBase']."index.php\">Retour a l'index</a>"; }

14/09/2007, 22h34
julp

Je pense plutôt qu'il faut les mysql_real_escape_string (voir la FAQ pour une solution portable prenant en compte la fonctionnalité magic_quotes_gpc) plutôt que de stripslashes les données. Le but étant de protéger (échapper) les caractères spéciaux pour le SGBD (MySQL ici).

Rassurez-moi : vous ne rencontrez ce problème que lorsque les données comportent des caractères spéciaux (principalement ' et ") ? Quelle est l'erreur ?
14/09/2007, 22h45
Agité

Citation:

Envoyé par julp

Je pense plutôt qu'il faut les mysql_real_escape_string (voir la FAQ pour une solution portable prenant en compte la fonctionnalité magic_quotes_gpc) plutôt que de stripslashes les données. Le but étant de protéger (échapper) les caractères spéciaux pour le SGBD (MySQL ici).

Rassurez-moi : vous ne rencontrez ce problème que lorsque les données comportent des caractères spéciaux (principalement ' et ") ? Quelle est l'erreur ?

oui uniquement dans ces cas et l'erreur est

Warning: mysql_fetch_array(): supplied argument is not a valid MySQL result resource in
14/09/2007, 22h50
julp

Citation:

Envoyé par Agité

Warning: mysql_fetch_array(): supplied argument is not a valid MySQL result resource in

D'accord, vous faites l'opération inverse de ce que vous devriez faire (stripslashes au lieu de mysql_real_escape_string - traitement à adapter à la valeur de magic_quotes_gpc), ce qui conduit dans ces cas particuliers à une erreur de syntaxe, d'où cette erreur.
14/09/2007, 22h51
Agité

en utilisant votre requete il me rajoute : \\\\\\\ plutôt que d'en enlever, je suis perdu.
14/09/2007, 22h55
julp

Citation:

Envoyé par Agité

en utilisant votre requete il me rajoute : \\\\\\\ plutôt que d'en enlever, je suis perdu.

Je peux l'expliquer parce que magic_quotes_gpc est actif (à vous de confirmer) ! La fonctionnalité magic_quotes_gpc constitue une sorte de "protection" générique (PHP applique en interne avant le début de votre script la fonction addslashes sur toutes les variables externes - méthodes GET, POST, etc) donc ces caractères sont échappés en tout deux fois (une deuxième fois par votre mysql_real_escape_string). Le plus sage, comme je l'ai dit plus haut est d'utiliser une fonctionne comme celle que propose la FAQ.

Eventuellement, si vous en avez la possibilité, vous pouvez désactiver la fonction magic_quotes_gpc (par fichier htaccess ou directement dans le fichier php.ini).

Note : elle n'existera plus en PHP 6.
14/09/2007, 23h05
Agité

Activé ou desactivé cela ne change rien.

Lorsque j'utilise la fonction donnée dans la FAQ même resultat.

En utilisant un echo quote_smart() il me retourne toujours un \
14/09/2007, 23h30
julp

:koi:

Citation:

Envoyé par Agité

Activé ou desactivé cela ne change rien.

Il doit quand même y avoir une différence sur leur nombre 8O

Quelles sont vos données d'origine et celles lors de la requête (il en faut quand même pour que la requête soit correcte) ? Vous n'ajouteriez pas des antislashs au moment du passage de votre variable par URL par hasard (explicitement à l'aide d'une fonction ou implicitement si vos données ont déjà transité par une méthode extérieure) ? Vous devriez afficher votre variable (var_dump) à ses différentes utilisations pour localiser les endroits où elle prend anormalement des antislashs.

Citation:

Envoyé par julp

:koi:

Il doit quand même y avoir une différence sur leur nombre 8O

Quelles sont vos données d'origine et celles lors de la requête (il en faut quand même pour que la requête soit correcte) ? Vous n'ajouteriez pas des antislashs au moment du passage de votre variable par URL par hasard (explicitement à l'aide d'une fonction ou implicitement si vos données ont déjà transité par une méthode extérieure) ? Vous devriez afficher votre variable (var_dump) à ses différentes utilisations pour localiser les endroits où elle prend anormalement des antislashs.

J'ai remis sur Off, redemarrer le server et voila enfin qu'il m'enleve bien les slash niquel, mais maintenant il m'indique qu'il ya une erreur juste en utilisant $_GET['pseudo'] :
Code:

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 <?php require ("admin/conf.php"); if (isset($_GET['pseudo'])) { echo $_GET['pseudo']; $verif = mysql_query("SELECT * FROM `membre` WHERE Pseudo = '".$_GET['pseudo']."' AND Confirm = 'non' "); $row=mysql_fetch_array($verif); $cle = md5($row['Pseudo'].$row['Passe'].$row['Email']); if ($cle == $_GET['cle']) { $valide = "UPDATE membre SET Confirm = 'oui' WHERE Pseudo = '".$_GET['pseudo']."' "; $test = mysql_query($valide) or die("erreur ! ".mysql_error()); echo "Inscription finalisée avec succès ! <a href=\"index.php\">Retour a l'index</a>"; }else{ echo "lien incorrect : <a href=".$_SESSION['UrlBase']."index.php>Retour a l'index</a>"; } }else{ echo "lien incorrect : <a href=".$_SESSION['UrlBase']."index.php\">Retour a l'index</a>"; } ?>
il me retourne :

Warning: mysql_fetch_array(): supplied argument is not a valid MySQL result resource in

14/09/2007, 23h40
julp

Il vous faudrait alors mysql_real_escape_string cette fois-ci :

Code:

$verif = mysql_query("SELECT * FROM `membre` WHERE Pseudo = '" . mysql_real_escape_string($_GET['pseudo']) . "' AND Confirm = 'non' ");

Idem pour la requête update :

Code:

$valide = "UPDATE membre SET Confirm = 'oui' WHERE Pseudo = '" . mysql_real_escape_string($_GET['pseudo']) . "' ";

(à moins de passer par une variable intermédiaire)
14/09/2007, 23h46
Agité

Citation:

Envoyé par julp

Il vous faudrait alors mysql_real_escape_string cette fois-ci :

Code:

$verif = mysql_query("SELECT * FROM `membre` WHERE Pseudo = '" . mysql_real_escape_string($_GET['pseudo']) . "' AND Confirm = 'non' ");

Idem pour la requête update :

Code:

$valide = "UPDATE membre SET Confirm = 'oui' WHERE Pseudo = '" . mysql_real_escape_string($_GET['pseudo']) . "' ";

(à moins de passer par une variable intermédiaire)

si je l'ajoute il me remet un slash

et en passant par une variable intermediaire :

$_GET['pseudo'] = mysql_real_escape_string($_GET['pseudo']);

même resulat.
14/09/2007, 23h57
julp

Citation:

Envoyé par Agité

si je l'ajoute il me remet un slash

Admettons, pourriez-vous nous donner la valeur de $_GET['pseudo'] (sa valeur en début de script) et ce que vous obtenez dans votre base et/ou lors de la requête (la chaîne correspondant à la requête), qu'on comprenne ce qu'il se passe ?
15/09/2007, 00h00
Agité

Bon alors je fais simple, quand j'envoie un mail de confirmation j'ajoute un lien avec :

http://***/membre_valid_inscrip.php?pseudo=*&cle=*

le pseudo ne contiens pas de slash a la base.

Maintenant quand je le recupere via $_GET['pseudo'], il me retourne des slash, alors qu'il n'y en as pas en haut, pour virer les slash j'ai proceder avec la maniere que vous m'avez ennoncé et ils disparaissent bien si je test en écrit, mais la variable ne veux pas passer dans sql.
15/09/2007, 11h43
julp

J'ai bien compris le principe, qui ne m'intéresse pas pour le moment, du moins, mais ce sont les différentes "valeurs" qu'il nous serait utile de connaître comme je vous l'ai demandé deux posts plus haut.
En tout début de script ajoutez :

Code:

var_dump($_GET['pseudo']);

Une ligne au-dessus ou en-dessous de vos requêtes faites de même en copiant/collant la requête (la chaîne fournit à la fonction mysql_query) :

Code:

var_dump("SELECT * ....");

Transmettez nous ensuite les informations telles qu'elles vous apparaissent et le code exact et complet que vous avez utilisé.

Dans les cas où cela fonctionne (fonctionnait ?), utilisez phpMyAdmin et donnez-nous un copier/coller de la nouvelle valeur obtenue après update.

Explications avec plus de code :

code sur la page de confirmation de la clef md5 et du pseudo :

Code:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
	<?php
 
 
 
						require ("admin/conf.php");
 
						var_dump($_GET['pseudo']."<br /><br />");
 
						if (isset($_GET['pseudo'])) {
 
						$_GET['pseudo'] = mysql_real_escape_string($_GET['pseudo']);
 
						echo $_GET['pseudo']."<br /><br />";
 
						var_dump("SELECT * FROM `membre` WHERE Pseudo = '".$_GET['pseudo']."' AND Confirm = 'non' "."<br /><br />");
						$verif = mysql_query("SELECT * FROM `membre` WHERE Pseudo = '".$_GET['pseudo']."' AND Confirm = 'non' ");
						$row=mysql_fetch_array($verif);
						$cle = md5($row['Pseudo'].$row['Passe'].$row['Email']);
 
						if ($cle == $_GET['cle']) {
						var_dump("UPDATE membre SET Confirm = 'oui' WHERE Pseudo = '".$_GET['pseudo']."' ");
						$valide = "UPDATE membre SET Confirm = 'oui' WHERE Pseudo = '".$_GET['pseudo']."' ";
						$test = mysql_query($valide) or die("erreur ! ".mysql_error());
						echo "<b>Inscription finalisée avec succès !<br /><br />
						 <a href=\"index.php\">Retour a l'index</a>";
						}else{
						echo "lien incorrect : <a href=".$_SESSION['UrlBase']."index.php>Retour a l'index</a>";
						}
 
						}else{
						echo "lien incorrect : <a href=".$_SESSION['UrlBase']."index.php\">Retour a l'index</a>";
						}
						?>

le résultat :

Code:

1
2
3
4
5
6
7
string(21) "sik's-tOy
 
" sik\'s-tOy
 
string(83) "SELECT * FROM `membre` WHERE Pseudo = 'sik\'s-tOy' AND Confirm = 'non'
 
" lien incorrect : Retour a l'index

l'url :

Code:

http://.../membre_valid_inscrip.php?pseudo=sik's-tOy&cle=80a9a0a4e55cb35cefbb41dc2f37abaf

Le pseudo tel qu'il apparait dans la base de donnée :

Code:

sik's-tOy

17/09/2007, 14h00
julp
Je ne vois rien d'anormal dans la sortie que vous donnez.
- Est-ce que la requête SQL SELECT passe ? La requête UPDATE n'étant pas exécutée par la suite (Rajoutez le or die(mysql_error() pour vos requêtes)
- Vous devriez contrôler le résultat de votre SELECT (par exemple avec mysql_num_rows)
- Attention, il est possible pour l'utilisateur de prédire la clé puisqu'elle dépend de ses propres informations
- J'ignore si vous le faites déjà, mais avant de générer un lien en PHP il faut encoder les données passées en paramètre (fonction urlencode)

Citation:

Envoyé par julp

Je ne vois rien d'anormal dans la sortie que vous donnez.

Est-ce que la requête SQL SELECT passe ? La requête UPDATE n'étant pas exécutée par la suite (Rajoutez le or die(mysql_error() pour vos requêtes)
Vous devriez contrôler le résultat de votre SELECT (par exemple avec mysql_num_rows)
Attention, il est possible pour l'utilisateur de prédire la clé puisqu'elle dépend de ses propres informations
J'ignore si vous le faites déjà, mais avant de générer un lien en PHP il faut encoder les données passées en paramètre (fonction urlencode)

Oui la reponse est normal mais lorsque je fais ca :
Code:

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 <?php require ("admin/conf.php"); var_dump($_GET['pseudo']." "); if (isset($_GET['pseudo'])) { var_dump($_GET['pseudo']." "); var_dump("SELECT * FROM `membre` WHERE Pseudo = '".$_GET['pseudo']."' AND Confirm = 'non' "." "); $verif = mysql_query("SELECT * FROM `membre` WHERE Pseudo = '".$_GET['pseudo']."' AND Confirm = 'non' "); $row=mysql_fetch_array($verif); $cle = md5($row['Pseudo'].$row['Passe'].$row['Email']); if ($cle == $_GET['cle']) { var_dump("UPDATE membre SET Confirm = 'oui' WHERE Pseudo = '".$_GET['pseudo']."' "); $valide = "UPDATE membre SET Confirm = 'oui' WHERE Pseudo = '".$_GET['pseudo']."' "; $test = mysql_query($valide) or die("erreur ! ".mysql_error()); echo "Inscription finalisée avec succès ! <a href=\"index.php\">Retour a l'index</a>"; }else{ echo "lien incorrect : <a href=".$_SESSION['UrlBase']."index.php>Retour a l'index</a>"; } }else{ echo "lien incorrect : <a href=".$_SESSION['UrlBase']."index.php\">Retour a l'index</a>"; } ?>
Citation:

Est-ce que la requête SQL SELECT passe ? La requête UPDATE n'étant pas exécutée par la suite (Rajoutez le or die(mysql_error() pour vos requêtes) :

La reponse est non:
Code:

1 2 Warning: mysql_fetch_array(): supplied argument is not a valid MySQL result resource in C:\***\membre_valid_inscrip.php on line 130 lien incorrect : Retour a l'index
lorsque je met un or die il me retourne :

Code:

You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near 's-tOy' AND Confirm = 'non'' at line 1

Citation:

[*] Attention, il est possible pour l'utilisateur de prédire la clé puisqu'elle dépend de ses propres informations

L'utilisateur ne sait pas comment est formée la clef md5 et ne peux donc pas la reproduire

Citation:

[*] J'ignore si vous le faites déjà, mais avant de générer un lien en PHP il faut encoder les données passées en paramètre (fonction urlencode)

Non je ne savais pas qu'il était nécessaire d'encoder l'url je me planche dessus.

J'ai bien compris que l'url est sans \ et que je dois les supprimer mais lors d'une requete SQL il est impossible de garder un ' puisque la requete se fait entre 2 '.

Comment faire ?

Merci pour vos reponses

17/09/2007, 22h36
julp
Citation:

Envoyé par Agité

J'ai bien compris que l'url est sans \ et que je dois les supprimer mais lors d'une requete SQL il est impossible de garder un ' puisque la requete se fait entre 2 '.

Si bien sûr vous pouvez avoir des apostrophes mais elles doivent être échappées.

J'ai fait des tests et j'obtiens bien les résultats attendus donc reprenons depuis le début :
- Placez un script avec un simple phpinfo dans votre répertoire de travail et donnez nous les valeurs des directives : magic_quotes_gpc et magic_quotes_runtime.
- Donnez nous votre code actuel puisque dans le dernier que vous donnez, je constate que les données ne sont plus échappées
Evitez de toucher à un de ses éléments entre deux messages sinon nous nous y retrouverons jamais. Le tout est d'être cohérent par rapport à la configuration (les fonctionnalités de type magic_quotes devraient être sur Off) sinon le mieux est encore de s'orienter vers une solution portable comme celle que propose la FAQ.

:aie:

J'ai toujours laissé desactivé le magic quote, il apparait comme ca dans le php.ini :

; Magic quotes for incoming GET/POST/Cookie data.
magic_quotes_gpc = Off

; Magic quotes for runtime-generated data, e.g. data from SQL, from exec(), etc.
magic_quotes_runtime = Off

en utilisant la fonction quotesmart rien ne change :

Code:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
132
133
134
135
136
137
138
139
140
141
142
143
144
145
146
147
148
149
150
151
152
153
154
155
156
157
158
159
160
161
162
163
164
165
<?php
// Le bout de code suivant sert à la création de la session, il devra être copié en tête de toute les pages publiques du site pouvant servir de point d'entrée
 
session_start();
 
require("admin/init.php");
require("admin/conf.php");
require ("include/Function.php");
 
// Mise à jour de la table session
MembreSession($_SERVER['REMOTE_ADDR']);
 
 
?><!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN" "http://www.w3c.org/TR/1999/REC-html401-19991224/loose.dtd">
<html>
<head>
	<title>LezArts Altérnatifs</title>
	<link rel="stylesheet" href="css/style.css" type="text/css">
 
<SCRIPT LANGUAGE="JavaScript" type="text/javascript">
 
function verif()
{
	var trouvearo=0;
	var trouvepoint=0;
	var a=document.inscription.Mail.value;
	var test="" + a;
	for(var k = 0; k < test.length;k++)
	{
		var c = test.substring(k,k+1);
		if(c == "@")
		{
		trouvearo=1;
		}
		if(c ==".")
		{
		trouvepoint=1;
		}
	}
	if(trouvearo==0 || trouvepoint==0){alert("Vous devez saisir une adresse E-mail valide, Merci");return false;}
	else{
		if (document.inscription.Pseudo.value.length == 0){
			alert("Vous devez saisir un pseudo, merci");
			return false;
			}
		else{
			if (document.inscription.Passe.value.length == 0){
			alert("Vous devez saisir un mot de passe, merci");
			return false;
			}
			else{
				if (document.inscription.Passe.value != document.inscription.Passe2.value){
					alert("Vous devez saisir deux fois le même mot de passe");
					return false;
				}else{
					return true;
				}
			}
		}
	}
}
</script>
</head>
<body>
<table border="0" cellspacing="0" cellpadding="0" width="100%">
	<!-- HEADER/MENU -->
	<?php
		include ("include/header.php");
		include ("include/menu_principal.php");
	?>
	<!-- HEADER/MENU -->
	<tr>
		<td class="menu-frame" >
			<table border="0" cellspacing="0" cellpadding="2" width="98%" align="center">
				<tr>
				<td align="center" class="menu_navigation">
						<table border="0" cellspacing="4" cellpadding="0" width="170" >
							<tr>
								<td  valign="top" height="100%" class="menu-nav">
								<br /><br /><br /><br />
								<p align="center">
 
								<img src="Img/phone.gif"> Sous menu 1
								<br />
								<img src="Img/vynil.gif"> Sous menu 2
								<br />
								<img src="Img/casque.gif"> Sous menu 3
								<br />
								</p><br /><br /><br />
								</td>
							</tr>
					<?php
					include ("include/menu_secondaire.php");
					?>
						</table>
					</td>
 
					<td >
						<table border="0" cellspacing="0" cellpadding="0" align="center"  width="100%">
							<tr>
								<td width="100%">
									<table border="0" cellspacing="0" cellpadding="0" width="100%"  valign="top" height="670px">
										<tr>
											<td height="30px" width="30px"><img src="Img/coin-hg.gif"></td>
											<td class="haut">&nbsp;</td>
											<td width="30px"><img src="Img/coin-hd.gif"></td>
										</tr>
										<tr>
											<td class="cote-droit">&nbsp;</td>
											<td valign="top">
											<div class="main_text" align="justify">
	<!-- PAGE -->
						<table border="0" cellspacing="0" cellpadding="0" width="100%">
						<?php
 
 
 
						require ("admin/conf.php");
 
						var_dump($_GET['pseudo']."<br /><br />");
 
						if (isset($_GET['pseudo'])) {
 
						var_dump($_GET['pseudo']."<br /><br />");
 
						var_dump("SELECT * FROM `membre` WHERE Pseudo = '".quote_smart($_GET['pseudo'])."' AND Confirm = 'non' "."<br /><br />");
						$verif = mysql_query("SELECT * FROM `membre` WHERE Pseudo = '".$_GET['pseudo']."' AND Confirm = 'non' ") or die(mysql_error());
						$row=mysql_fetch_array($verif);
						$cle = md5($row['Pseudo'].$row['Passe'].$row['Email']);
 
						if ($cle == $_GET['cle']) {
						var_dump("UPDATE membre SET Confirm = 'oui' WHERE Pseudo = '".$_GET['pseudo']."' ");
						$valide = "UPDATE membre SET Confirm = 'oui' WHERE Pseudo = '".$_GET['pseudo']."' ";
						$test = mysql_query($valide) or die("erreur ! ".mysql_error());
						echo "<b>Inscription finalisée avec succès !<br /><br />
						 <a href=\"index.php\">Retour a l'index</a>";
						}else{
						echo "lien incorrect : <a href=".$_SESSION['UrlBase']."index.php>Retour a l'index</a>";
						}
 
						}else{
						echo "lien incorrect : <a href=".$_SESSION['UrlBase']."index.php\">Retour a l'index</a>";
						}
						?>
						</table>
 
											<td class="cote-gauche">&nbsp;</td>
										</tr>
										<tr>
											<td height="30px" width="30px"><img src="Img/coin-hd.gif"></td>
											<td class="bas">&nbsp;</td>
											<td width="30px"><img src="Img/coin-hg.gif"></td>
										</tr>
									</table>
								</td>
							</tr>
						</table>
					</td>
				</tr>
			</table>
		</td>
	</tr>
</table>
</body>
</html>

résultat :

Code:

1
2
3
4
5
6
7
8
 
string(21) "sik's-tOy
 
" string(21) "sik's-tOy
 
" string(83) "SELECT * FROM `membre` WHERE Pseudo = 'sik\'s-tOy' AND Confirm = 'non'
 
" You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near 's-tOy' AND Confirm = 'non'' at line 1

18/09/2007, 13h43
julp

C'est bien de le mettre pour l'affichage mais il faut aussi le faire dans la requête :

Code:

$verif = mysql_query("SELECT * FROM `membre` WHERE Pseudo = '".quote_smart($_GET['pseudo'])."' AND Confirm = 'non' ") or die(mysql_error());

A utiliser aussi pour la requête UPDATE si un jour on arrive jusque là :ange:

Voir 40 message(s) de cette discussion en une page