Version imprimable
bonjour a tous,ou bonsoir
je suis actuellement entrin d'essayer de protéger mon site contre les injections sql mai le souci c'est qu'a part addslashs,stripslash et mysql_query_string je ne connai rien d'autre donc je pense savoir proteger mes champs dan un formulaire par contre proterger des injection au niveau de la bare url
(http://ma_page?id=xx&&id=xx...) j'en ai aucune idee si quelqu'un pouvai juste me dir comment on fai sa serai cool merci d'avance ;)
tu n'as besoin ni de addslashes() ni de stripslashes() a moins que ton serveur t'impose les magic_quotes_gpc.
tu dois par contre effectivement utiliser mysql_real_escape_string() sur les données que tu places dans tes requetes, c'est la meme chose que les données viennent d'une url ou d'un formulaire.
merci sabotage pour ta réponse mais regarde comme pour cette variable que je veux securiser comment je dois faire?
parce que quand je fais :Code:$c=$_GET['c'];
j'ai une erreur mais quand je laisse la variable sans mysql_real_escape... ça marche bien mais le souci c'est que des que je met une apostrophe dans la barre url j'ai un message d'erreur sql ce qui signifie protection 0Code:$c=mysql_real_escape_string($_GET['c']);
je ne sais pas si tu comprends ce que je veux dire : en gros mon probleme c'est l'erreur que j'ai quand je met une apostrophe dans l'url
Et quelle est l'erreur que tu rencontres ?
voila l'erreur que j'ai des que je met une apostrophe dans l'url :
comment je pourai eviter sa stpCitation:
You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near ''Bienvenue'' AND id_categori1=id_cat1_f GROUP BY titre_cat1,nom_fo' at line 5
Visiblement ton apostrophe n'est pas echappé ici.
Pourrait-on voit le code qui fait ta requete ?
biensur sabotage le voici
Code:
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
Il faut bien aussi se dire une chose importante :
NE jamais faire confiance au visiteur
Ce qui consiste a dire : toujours verifier les données et leur type avant de les balancer dans une requete.
ça evite deja pas mal d'erreur.
Il manque un espace avant le AND
Egalement il y a un problème de logique : tu ne peux pas commencer par utiliser $_GET['c'] et ensuite t'interesser à savoir s'il existait ou non.
Egalement : quand on passe une donnée dans une url, on utilise urlencode().Code:
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
Quand on doit afficher une donnée tierce, on utilise htmlentities().
merci sabotage mai j'ai un nouveaux message d'erreur qui est :
Code:
2
Je ne peux pas deviner ce qu'il y a dans ton code à la ligne 369 :mrgreen:
excuse moi que sabotage
Code:
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21ligne 349----><?php foreach($tableau as $nom=>$valeurs) {?> <table width="100%" border="0" cellpadding="0" cellspacing="0" class="fon_2"> <tr> <td width="54%" height="23" align="left" valign="middle" class="ecriture_principal"><b><img src="images/open.gif.png" alt="" width="14" height="11" /> <a href="forum.php?c=<?php echo $nom; ?>"><?php echo $nom; ?></a></b></td> <td width="46%" height="23" align="left" valign="top" class="ecriture_principal2"><span class="fond_3_suite"><span class="fond_3"><img src="images/cellpic2.jpg" width="100%" height="23" /></span></span></td> </tr> </table> <?php foreach($valeurs as $sous_categorie) { ?> <table width="100%" height="43" border="0" cellpadding="0" cellspacing="0" class="bordur2"> <tr> <td width="3%" height="41" align="center" valign="middle" bgcolor="#E6EAED" class="ecrit_noir"><img src="images/nouvo.png" width="20" height="20" /></td> <td width="64%" bgcolor="#F3F3F3" class="truc"><span class="titre_forum"> <?php echo "<img src=\"images/".$sous_categorie['im_for']."\" width=\"15\" height=\"15\" />"; ?> <?php echo $sous_categorie['nom_forum']; ?></span><br /> <span class="petite_ecriture"> <?php echo $sous_categorie['descri_cat']; ?></span></td> <td width="6%" align="center" valign="middle" bgcolor="#DCE1E5" class="ecrit_noir"><?php echo $sous_categorie['nb_s']; ?></td> <td width="6%" align="center" valign="middle" bgcolor="#E6EAED" class="ecrit_noir"><?php echo $sous_categorie['nb_m']; ?></td> <td width="21%" align="center" valign="middle" bgcolor="#F3F3F3" class="petite_ecriture"> a <br /> <img src="images/dernier_mes.gif" width="18" height="9" /></td> </tr> </table> <?php } ligne 369-----> }?>
Controle que ta requete retourne bien des lignes et que $tableau vaut quelque chose.
Dans tous les cas tu peux ajouter un
avant ta requete, ca ne solutionnera pas le problème mais ca gérera ce cas.Code:$tableau = array();
je compren rien je commence a me perdre mai normalement oui mon tableau retourne bien des valeur puisque si je ne met pas cette satané apostrophe dans la barre url sa marche super
c'est juste quand je met une apostrophe dans la barre de navigation que les probleme commence :cry:
Ce n'est pas "normalement" qui nous interesse.Citation:
normalement oui mon tableau
C'est precisemment, ta requete, avec la valeur avec l'apostrophe dedans, est-ce qu'elle retourne des lignes ?
Teste la dans phpmyadmin par exemple.
comme tu m'a dit j'ai tester dan phpmyadmin et sa me donne sa :
Code:
2
3
4
5
6
Et quelle requete executes-tu ?
voila la requette que j'execute dans phpmyadmin :
j'ai remplacer la variable qui corespond au parametre url a sa valeur c'est a dir
"L'actualité"
Code:
2
3
4
5
6
mais dans mon script je crois que c'est pas une erreur sql mai plutot une erreur php pasque l'erreur c'est sa :Warning: Invalid argument supplied for foreach() in D:\wamp\www\dossier\forum.php on line 294
qui a un raport avec la boucle foreach
L'erreur Php que tu rencontres te signale juste que tu essaie de faire un foreach sur une variable qui n'est pas itérable ( un tableau en gros )
Pourquoi ce n'est pas un tableau, tout simplement car ta requête ne fonctionne pas ou ne renvoie aucune ligne.
En gros, je modifierai le script de la façon suivante
Visiblement pas d'erreur car sinon tu irais dans le die(), mais tu peux faire un log de la requête au cas où( écran, ou fichier )
Ensuite, il faut initialiser la variable $tableau pour éviter le warning sur le foreach
merci pour ta reponse FCYPBA
mai la je suis perdu je compren plus rien avec ce foreach commen je doi faire deja pour que j'ai deux valeur differente dan cette boucle foreach?
sa commence a devenir trop compliquer tou sa:calim2: