Version imprimable
bonjour a tous,ou bonsoir
je suis actuellement entrin d'essayer de protéger mon site contre les injections sql mai le souci c'est qu'a part addslashs,stripslash et mysql_query_string je ne connai rien d'autre donc je pense savoir proteger mes champs dan un formulaire par contre proterger des injection au niveau de la bare url
(http://ma_page?id=xx&&id=xx...) j'en ai aucune idee si quelqu'un pouvai juste me dir comment on fai sa serai cool merci d'avance ;)
tu n'as besoin ni de addslashes() ni de stripslashes() a moins que ton serveur t'impose les magic_quotes_gpc.
tu dois par contre effectivement utiliser mysql_real_escape_string() sur les données que tu places dans tes requetes, c'est la meme chose que les données viennent d'une url ou d'un formulaire.
merci sabotage pour ta réponse mais regarde comme pour cette variable que je veux securiser comment je dois faire?
parce que quand je fais :Code:$c=$_GET['c'];
j'ai une erreur mais quand je laisse la variable sans mysql_real_escape... ça marche bien mais le souci c'est que des que je met une apostrophe dans la barre url j'ai un message d'erreur sql ce qui signifie protection 0Code:$c=mysql_real_escape_string($_GET['c']);
je ne sais pas si tu comprends ce que je veux dire : en gros mon probleme c'est l'erreur que j'ai quand je met une apostrophe dans l'url
Et quelle est l'erreur que tu rencontres ?
voila l'erreur que j'ai des que je met une apostrophe dans l'url :
comment je pourai eviter sa stpCitation:
You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near ''Bienvenue'' AND id_categori1=id_cat1_f GROUP BY titre_cat1,nom_fo' at line 5
Visiblement ton apostrophe n'est pas echappé ici.
Pourrait-on voit le code qui fait ta requete ?
biensur sabotage le voici
Code:
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
Il faut bien aussi se dire une chose importante :
NE jamais faire confiance au visiteur
Ce qui consiste a dire : toujours verifier les données et leur type avant de les balancer dans une requete.
ça evite deja pas mal d'erreur.
Il manque un espace avant le AND
Egalement il y a un problème de logique : tu ne peux pas commencer par utiliser $_GET['c'] et ensuite t'interesser à savoir s'il existait ou non.
Egalement : quand on passe une donnée dans une url, on utilise urlencode().Code:
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
Quand on doit afficher une donnée tierce, on utilise htmlentities().
merci sabotage mai j'ai un nouveaux message d'erreur qui est :
Code:
2
Je ne peux pas deviner ce qu'il y a dans ton code à la ligne 369 :mrgreen:
excuse moi que sabotage
Code:
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21ligne 349----><?php foreach($tableau as $nom=>$valeurs) {?> <table width="100%" border="0" cellpadding="0" cellspacing="0" class="fon_2"> <tr> <td width="54%" height="23" align="left" valign="middle" class="ecriture_principal"><b><img src="images/open.gif.png" alt="" width="14" height="11" /> <a href="forum.php?c=<?php echo $nom; ?>"><?php echo $nom; ?></a></b></td> <td width="46%" height="23" align="left" valign="top" class="ecriture_principal2"><span class="fond_3_suite"><span class="fond_3"><img src="images/cellpic2.jpg" width="100%" height="23" /></span></span></td> </tr> </table> <?php foreach($valeurs as $sous_categorie) { ?> <table width="100%" height="43" border="0" cellpadding="0" cellspacing="0" class="bordur2"> <tr> <td width="3%" height="41" align="center" valign="middle" bgcolor="#E6EAED" class="ecrit_noir"><img src="images/nouvo.png" width="20" height="20" /></td> <td width="64%" bgcolor="#F3F3F3" class="truc"><span class="titre_forum"> <?php echo "<img src=\"images/".$sous_categorie['im_for']."\" width=\"15\" height=\"15\" />"; ?> <?php echo $sous_categorie['nom_forum']; ?></span><br /> <span class="petite_ecriture"> <?php echo $sous_categorie['descri_cat']; ?></span></td> <td width="6%" align="center" valign="middle" bgcolor="#DCE1E5" class="ecrit_noir"><?php echo $sous_categorie['nb_s']; ?></td> <td width="6%" align="center" valign="middle" bgcolor="#E6EAED" class="ecrit_noir"><?php echo $sous_categorie['nb_m']; ?></td> <td width="21%" align="center" valign="middle" bgcolor="#F3F3F3" class="petite_ecriture"> a <br /> <img src="images/dernier_mes.gif" width="18" height="9" /></td> </tr> </table> <?php } ligne 369-----> }?>
Controle que ta requete retourne bien des lignes et que $tableau vaut quelque chose.
Dans tous les cas tu peux ajouter un
avant ta requete, ca ne solutionnera pas le problème mais ca gérera ce cas.Code:$tableau = array();
je compren rien je commence a me perdre mai normalement oui mon tableau retourne bien des valeur puisque si je ne met pas cette satané apostrophe dans la barre url sa marche super
c'est juste quand je met une apostrophe dans la barre de navigation que les probleme commence :cry:
Ce n'est pas "normalement" qui nous interesse.Citation:
normalement oui mon tableau
C'est precisemment, ta requete, avec la valeur avec l'apostrophe dedans, est-ce qu'elle retourne des lignes ?
Teste la dans phpmyadmin par exemple.
comme tu m'a dit j'ai tester dan phpmyadmin et sa me donne sa :
Code:
2
3
4
5
6
Et quelle requete executes-tu ?
voila la requette que j'execute dans phpmyadmin :
j'ai remplacer la variable qui corespond au parametre url a sa valeur c'est a dir
"L'actualité"
Code:
2
3
4
5
6
mais dans mon script je crois que c'est pas une erreur sql mai plutot une erreur php pasque l'erreur c'est sa :Warning: Invalid argument supplied for foreach() in D:\wamp\www\dossier\forum.php on line 294
qui a un raport avec la boucle foreach
L'erreur Php que tu rencontres te signale juste que tu essaie de faire un foreach sur une variable qui n'est pas itérable ( un tableau en gros )
Pourquoi ce n'est pas un tableau, tout simplement car ta requête ne fonctionne pas ou ne renvoie aucune ligne.
En gros, je modifierai le script de la façon suivante
Visiblement pas d'erreur car sinon tu irais dans le die(), mais tu peux faire un log de la requête au cas où( écran, ou fichier )
Ensuite, il faut initialiser la variable $tableau pour éviter le warning sur le foreach
merci pour ta reponse FCYPBA
mai la je suis perdu je compren plus rien avec ce foreach commen je doi faire deja pour que j'ai deux valeur differente dan cette boucle foreach?
sa commence a devenir trop compliquer tou sa:calim2:
La requete dans phpmyadmin ca donnerait ça :
La valeur est encadrée d'apostrophes comme dans ton code et l'apostrophe de la valeur est echapée.
Pour l'erreur purement PHP, je t'ai déjà donné la solution un peu plus haut, il faut lire les messages :Citation:
select nom_forum,id_forum,im_for,titre_sujet,descri_cat,id_sujet,date_sujet,auteur_sujet,id_suj_forum,message,titre_cat1,id_categori1,satmp_cat,date_message,auteur_message
,COUNT(titre_sujet) AS nb_s ,COUNT(message) AS nb_m FROM categorie1
LEFT JOIN forum ON (id_cat1_f=id_categori1)
LEFT JOIN sujet_forum ON (id_sujet=id_suj_forum)
LEFT JOIN message_topic ON (id_mes_suj=id_sujet) WHERE titre_cat1= 'l\'actialité' AND id_categori1=id_cat1_f
GROUP BY titre_cat1,nom_forum,titre_sujet ORDER BY satmp_cat ASC
Citation:
Dans tous les cas tu peux ajouter un
avant ta requeteCode:
2
merci sabotage mai la je voi plus rien je comprend plus rien entre les foreach les array je me sui embrouiller dans ma tete et j'ai tou deguelasser mon code :cry::cry:
je croi que je vais tou reprendre depuis le debut en essayan de le faire sans tableau et sans foreach pasque c'est sa qui m'en brouille je sai pas comment sa marche tous ces tableau avec ma requette
et ya un truc que je compren pas dan foreach comment on fai pour avoir de valeur diferente dan la boucle:
$nom=>$valeur 8O
au premier tour de boucle ca afficheCode:
2
3
4
5
1 : abc
au deuxieme tour de boucle ca affiche
2 : 1234
merci sabotage donc je voi tou sa et je te tien au couran :ccool:
Je n'ai pas vu de commentaire de sabotage à propos de
Alors que c'est nécessaire ^^Code:
2
Si tu déclares $c tu peux être sur qu'à la ligne suivante $c est déclarée.
isset() sert à vérifier si une données existe(est déclarée) et non si elle est vide.
Pour vérifier des données type GET ou POST, il faut généralement utiliser empty() (qui comprend les vérifications de isset() ).
Tu devrais aussi vérifier que le contenu de la variable respecte bien le type de données que tu veux recevoir, sinon tu crains l'injection SQL.
Attention avec empty(), cela exclu egalement le 0.