Test sur champs

Version imprimable

Voir 40 message(s) de cette discussion en une page

Entre vos script et le tutorial que m'a indiqué Dendritre, je crois avoir trouvé la solution, en tout cas cela marche...

Qu'en pensez vous, orthodoxe, sécurisé?
J'ai lu ceci quelque part:

Citation:

juste pour préciser que passer directement des variables renseignées dans un formulaire dans une requete SQL est une grosse faille de sécurité ( il suffit de cloturé la requete et d'en ajouter une a la suite pour pouvoir faire n'importe quoi sur la base).

Voici le code:

Code:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
 
<?php
 
$connect = mysql_connect('localhost','root','') or die ("Erreur de connexion");
mysql_select_db('base',$connect) or die ("Erreur de connexion base");
 
$categorie1 = $_GET["categorie1"]; 
 echo 'Ma variable passée par url =>'.$categorie1;
 echo '<br><br><br>';
 
 
 // lancement de la requête (on impose aucune condition puisque l'on désire obtenir la liste complète des propriétaires  
 $sql = "SELECT * FROM `liste` WHERE `categorie1` LIKE '". $categorie1 ."';";   
 // on lance la requête (mysql_query) et on impose un message d'erreur si la requête ne se passe pas bien (or die)  
 $req = mysql_query($sql) or die('Erreur SQL !<br />'.$sql.'<br />'.mysql_error());  
 
 // on va scanner tous les tuples un par un  
 while ($data = mysql_fetch_array($req)) { 
       // on affiche les résultats 
       echo 'Nom : '.$data['nom'].'<br />'; 
       echo 'Son tél : '.$data['url'].'<br /><br />';  
 }  
 mysql_free_result ($req);  
 mysql_close ();  
 ?>
 </body>
  </html>

21/11/2008, 12h51
sabotage

Comme je l'ai mis au début :

Code:

$categorie1 = mysql_real_escape_string($_GET["categorie1"]);

J'ai bon alors?
;)

J'approfondis fur et à mesure vos codes.
Je suppose que LIKE n'est pas la solution la plus orthodoxe alors j'ai mis en place dans mon script le real escape string mais ca ne passe pas plus qu'en copiant vos scripts et en y adaptant mes paramtres.

Message d'erreur:

Citation:

Erreur SQL !
SELECT * FROM liste WHERE categorie1=camions
Champ 'camions' inconnu dans where clause

Voici mon code:

Code:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
 
$connect = mysql_connect('localhost','root','') or die ("Erreur de connexion");
mysql_select_db('base',$connect) or die ("Erreur de connexion base");
$ville="Nice";
$categorie1 = mysql_real_escape_string($_GET["categorie1"]); 
 echo 'Ma variable passée par url =>'.$categorie1;
 echo '<br><br><br>';
 echo 'Ma variable ville =>'.$ville;
 echo '<br/>';
 
 
 
 
 // lancement de la requête (on impose aucune condition puisque l'on désire obtenir la liste complète des propriétaires  
    $sql = "SELECT * FROM liste WHERE categorie1=" . $categorie1;
 // on lance la requête (mysql_query) et on impose un message d'erreur si la requête ne se passe pas bien (or die)  
 $req = mysql_query($sql) or die('Erreur SQL !<br />'.$sql.'<br />'.mysql_error());  
 
 // on va scanner tous les tuples un par un  
 while ($data = mysql_fetch_array($req)) { 
       // on affiche les résultats 
       echo ' '.$data['nom'].'<br />'; 
	   echo '<a href="http://'.$data['url'].' " target="_blank"> '.$data['url'].' </a> ';
	   echo '<BR/><BR/>';
 
 }  
 mysql_free_result ($req);  
 mysql_close ();  
 ?>
 </body>
  </html>

21/11/2008, 15h30
idamarco

Je crois que j'ai trouvé...
Le

Citation:

WHERE categorie1=" . $categorie1;

ne passe pas.
J'ai remplacé par:

Citation:

WHERE categorie1='$categorie1'";

et ça passe.

Voir 40 message(s) de cette discussion en une page