sql et texte avec guillemets

Version imprimable

23/12/2005, 15h54
licorne

sql et texte avec guillemets

Bonjour,

J'insère dans une table mysql du texte contenant des guillemets.
Lors de l'ordre INSERT INTO la requête sort en erreur car il y a un mélange de guillemets du texte et de guillemets de la requête.
Existe t'il une fonction sql qui ignorerait les guillemets d'un texte à insérer ?

Merci pour vos suggestions. :)
23/12/2005, 15h59
Mr N.

mysql_real_escape_string 8)
23/12/2005, 16h00
Bebel
pour les requetes SQL si
tu as des " tu dois les antislashe avec addslashes
sinon si tu as des ' il faut que tu les doubles, le mieux dans ce cas la est d'utilise
Code:

1 2 replace("'","''",$montexte)
mais je pense qu'avec un peu de recherche tu aurais pu le trouver
23/12/2005, 16h01
Death83

y'a plus simple tu fait un addslashes de ton texte et apres tu fait un stripslashes a l'affichage et tu n'aura plus a tesoucier des probleme de " et '
23/12/2005, 16h08
Mr N.

argggh vous vous compliquez la vie et il y a des caractères spéciaux pour mysql, que addslashes ne protège pas, et qui permettent une injection sql...

Et normalement un addslashes pour insertion dans la bd ne devrait pas nécessiter de stripslashes au sortir de celle-ci.
23/12/2005, 16h14
Death83

Citation:

Envoyé par Mr N.

argggh vous vous compliquez la vie et il y a des caractères spéciaux pour mysql, que addslashes ne protège pas, et qui permettent une injection sql...

Et normalement un addslashes pour insertion dans la bd ne devrait pas nécessiter de stripslashes au sortir de celle-ci.

CHez free si :D.
23/12/2005, 16h17
Mr N.

Ah ? intéressant. Que vaut magic_quotes_runtime ?
23/12/2005, 16h19
Death83

Citation:

Envoyé par Mr N.

Ah ? intéressant. Que vaut magic_quotes_runtime ?

Justement c'est à cause de ca il est désactivé chez eux. Mais sur mon esayphp ca marche sans les stripslashes. Mais bon c'est toujours mieu de les mettre dans le cas ou le site se ballade de serveur en serveur (comme ca ca marche partout).
23/12/2005, 16h27
Mr N.

Que vaut magic_quotes_runtime chez free ?

Sinon je suis pas trop d'accord de le mettre partout à l'aveugle

si je rentre explicitement ceci :

Code:

\'

chez toi apres le addslashes, dans la bd on a :

Code:

\'

si tu ressors le truc, tu fais un stripslashes dessus et tu te retrouves avec

Code:

'

:(

Alors que chez free, quand tu ressors de mysql tu te retrouves avec

Code:

\\\'

plus le stripslashes :

Code:

\'

A confirmer bien sur...

Citation:

Envoyé par Mr N.

mysql_real_escape_string 8)

Ca ne marche pas.
Voici ma requête :

Code:

1
2
3
4
5
	$requete_infojour = 'UPDATE infojour SET ij_titre = "'.$titre.'",ij_texte = "'.$texte.'" ,ij_date = "'.$date.'" ,ij_ligne = "'.$ligne.'" WHERE ij_id = '.$ident_ij.' AND ij_pijid = '.$ident_ag;
	mysql_real_escape_string($ij_titre);
	mysql_real_escape_string($ij_texte);
	$resultat_infojour = mysql_query($requete_infojour,$base);
	controle_table($resultat_infojour,$requete_infojour);

Ma fonction jscript qui initialise un lien à intégrer dans un champ texte :

Code:

1
2
3
		monlien = "&nbsp;\<a href=http://"+document.getElementById('lien').value+"/>"	
					+document.getElementById('saisielien').value+"</a>"; 
		document.getElementById('ij_texte').innerHTML += monlien;

La requête échoue sur l'insertion de texte dans ij_texte.
Je ne comprends pas :(

Code:

1
2
3
4
 
$requete_infojour = 'UPDATE infojour SET ij_titre = "'.mysql_real_escape_string($titre).'",ij_texte = "'.mysql_real_escape_string($texte).'" ,ij_date = "'.$date.'" ,ij_ligne = "'.$ligne.'" WHERE ij_id = '.$ident_ij.' AND ij_pijid = '.$ident_ag;
$resultat_infojour = mysql_query($requete_infojour,$base);
controle_table($resultat_infojour,$requete_infojour);

23/12/2005, 16h36
Mr N.

au fait c'est des quotes et pas des guillemets qu'il faut utiliser :

Code:

$requete_infojour = "UPDATE infojour SET ij_titre = '".mysql_real_escape_string($titre)."',ij_texte = '".mysql_real_escape_string($texte)."' ,ij_date = '".$date."' ,ij_ligne = '".$ligne."' WHERE ij_id = '.$ident_ij.' AND ij_pijid = '.$ident_ag;

....
23/12/2005, 16h44
Death83

Citation:

Envoyé par Mr N.

Que vaut magic_quotes_runtime chez free ?

Sinon je suis pas trop d'accord de le mettre partout à l'aveugle

si je rentre explicitement ceci :

Code:

\'

chez toi apres le addslashes, dans la bd on a :

Code:

\'

si tu ressors le truc, tu fais un stripslashes dessus et tu te retrouves avec

Code:

'

:(

Alors que chez free, quand tu ressors de mysql tu te retrouves avec

Code:

\\\'

plus le stripslashes :

Code:

\'

A confirmer bien sur...

Mon site en test est actuellement chez free et stripslashes addslashes marche nickel ;).

J'ai copier coller ton post et l'ai poster comme une news et regarde ce que ca affiche :

http://manganime.0.free.fr/index.php
23/12/2005, 16h48
Mr N.

Et chez toi ca donne quoi ?
23/12/2005, 16h49
Mr N.

Ehh mais ca marche pas !
je retrouve pas \' !!!
23/12/2005, 16h53
Death83

dans la BDD j'ai ca lol:

Citation:

Que vaut magic_quotes_runtime chez free ?

Sinon je suis pas trop d\'accord de le mettre partout à l\'aveugle

si je rentre explicitement ceci :
Code:
\\\'

chez toi apres le addslashes, dans la bd on a :
Code:
\\\'

si tu ressors le truc, tu fais un stripslashes dessus et tu te retrouves avec
Code:
\'
Sad

Alors que chez free, quand tu ressors de mysql tu te retrouves avec
Code:
\\\\\\\'

plus le stripslashes :
Code:
\\\'

A confirmer bien sur...
23/12/2005, 16h55
Death83

Par contre je viens de faire un test avec

Citation:

"text" 'text'

et ca affiche bien ce qu'il faut.

Apres dans mon cas je ne pense pas que je me trouverais dans un cas ou mes posteur mettrons des \' ou des \" dans leur text.
23/12/2005, 17h00
Mr N.

je l'espère pour toi :roll:
23/12/2005, 17h02
licorne

Citation:

Envoyé par Mr N.

au fait c'est des quotes et pas des guillemets qu'il faut utiliser :

Code:

$requete_infojour = "UPDATE infojour SET ij_titre = '".mysql_real_escape_string($titre)."',ij_texte = '".mysql_real_escape_string($texte)."' ,ij_date = '".$date."' ,ij_ligne = '".$ligne."' WHERE ij_id = '.$ident_ij.' AND ij_pijid = '.$ident_ag;

....

Ca fonctionne presque très bien.
Le seul problème qui persiste concerne les espaces.
Il tronque après le premier espace. :?:
23/12/2005, 17h10
Mr N.

exemple ?
23/12/2005, 17h33
licorne

Citation:

Envoyé par Mr N.

exemple ?

Voici ce qu'il a insérer dans la base :

Code:

 <A href="javascript:lance_exec('AcroRd32.exe','//srvw2k07/intranet/Notes" services de NS-05-003.pdf?)>lien</A>

Le lien se trouvant dans $texte devait être : "//srvw2k07/intranet/Notes de services/NS-05-003.pdf"

Si la valeur du lien se trouvant dans $texte ne comporte pas d'espace ça fonctionne TB.

Tu a fait addslashes/stripslahes chez free ? Je serais curieux de savoir comment tu fait pour faire une requete qui teste les champs contenant des " et '.
Car si tu cherche par exemple "l'avion" dans la BDD c'est "l'\'avion" ...

Code:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
 
<?php
// Protège la variable
function quote_smart($value)
{
   // Stripslashes
   if (get_magic_quotes_gpc()) {
      $value = stripslashes($value);
   }
   // Protection si ce n'est pas un entier
   if (!is_numeric($value)) {
      $value = "'" . mysql_real_escape_string($value) . "'";
   }
   return $value;
}
 
// Connexion
$link = mysql_connect('mysql_host', 'mysql_user', 'mysql_password')
OR die(mysql_error());
 
// Fabrication d'une requête sécurisée
$query = sprintf("SELECT * FROM users WHERE user=%s AND password=%s",
quote_smart($_POST['username']),
quote_smart($_POST['password']));
 
mysql_query($query);
?>