Mysql, apostrophe et champ input

Version imprimable

Bonjour,

mon problème est tout simple mais je ne trouve pas la solution, j'ai un champ texte qui peut contenir une apostrophe, a l'ajout dans la base je fait un addlsashes, comme ci desous, jusque la tout va bien j'ai les données dans ma base
Code:

1 2 3 4 5 6 7 8 $titre = addslashes($_POST['titre']); $contenu = addslashes($_POST['contenu']); $now = time(); $sql = "INSERT INTO actualites VALUES ('','$titre','$contenu','0','$now')"; mysql_query($sql);
J'ai donc dans ma base comme titre pour prendre un exemple
Code:

1 2 Test de l'actualité
A la récupération je fait ceci
Code:

1 2 3 4 5 6 7 8 9 10 11 12 13 14 <?php $id_actu = $_GET['id_actu']; $sql = "SELECT * FROM actualites WHERE id_actu = '$id_actu'"; $result = mysql_query($sql); while($data = mysql_fetch_array($result)){ $titre = addslashes($data['titre']); $contenu = $data['contenu']; } ?> .... <input type = 'text' name = 'titre' value = '<?=$titre?>' style = 'width:100%'>
Problème ca m'affiche dans le champ texte
Code:

1 2 Test de l\
Si quelqu'un a une idée ?

A noter que je n'ai pas de problème avec le contenu car il est géré avec CkEditor

30/03/2010, 16h16
RunCodePhp

Salut

Il faut encoder ce caractère, en utilisant htmlspecialschar ou htmlentities (ça dépend des contenus), mettre son entité HTML à la place.

Petit conseil en passant concernant ce code :

Code:

<?=$titrer?>

Utilise plutôt :

Code:

<?php echo $titre; ?>

La syntaxe courte provoque, ou provoquera plus de problème quelle n'en résout.
Et encore, elle ne résout rien, à part faire une soit disant économie de code.

Aussi, j'y mets des réserve sur le fait de mettre des espaces au niveau des attributs HTML :

Code:

<input type = 'text' name = 'titre' value = '<?=$titre?>' style = 'width:100%'>

Corrige plutôt comme ceci :

Code:

<input type='text' name='titre' value='<?php echo $titre; ?>' style='width:100%'>

Voir aussi utiliser des doubles quotes (ou guillemets) à la place des simples :

Code:

<input type = "text" name="titre" value="<?php echo $titre; ?>" style="width:100%">

J'ai mis a la récupération

Code:

1
2
3
4
5
6
7
8
 
$id_actu = $_GET['id_actu'];
$sql = "SELECT * FROM actualites WHERE id_actu = '$id_actu'";
$result = mysql_query($sql);
while($data = mysql_fetch_array($result)){
  $titre = htmlspecialchars($data['titre']);
  $contenu = $data['contenu'];
}

et ca affiche

Code:

1
2
 
Test de l

Bonjour,

Pourquoi utilises-tu addslahses lors de la récupération ? aucun intérêt à priori. Laisse tel quel et écris ta variable.

Aussi, lors de l'insertion, pourquoi ne pas simplement utiliser http://fr.php.net/mysql_real_escape_string :koi:

Pour finir, ta boucle while ne sert à rien, tu n'as qu'un enregistrement dans ton jeu de résultat :
Code:

1 2 3 4 5 6 7 8 $id_actu = $_GET['id_actu']; $result = mysql_query("SELECT * FROM actualites WHERE id_actu = '$id_actu'"); $data = mysql_fetch_array($result); $titre = $data['titre']; $contenu = $data['contenu'];
À bientôt,

30/03/2010, 16h29
BenoitDenis

Citation:

Envoyé par ThomasR

Bonjour,

Pourquoi utilises-tu addslahses lors de la récupération ? aucun intérêt à priori. Laisse tel quel et écrit ta variable.

Aussi, lors de l'insertion, pourquoi ne pas simplement utiliser http://fr.php.net/mysql_real_escape_string :koi:

Parce que l'injection et la sélection dans la base se font bien, et que c'est a l'affichage dans le champ input que ca part en nouilles...

A moins que je n'ai pas bien compris comment utiliser ta fonction
30/03/2010, 16h32
RunCodePhp

Change les séparateur au niveau du HTML.
Ceci : value='... etc ...'
En cela : value="... etc ..."

Par contre, s'il y a un risque que le contenu ($titre) contienne des guillemets " et aussi des apostrophe ' , alors il y aura conflit entre le contenu et le code HTML.
Il n'y a pas d'autre moyen que d'utiliser des entités, donc encoder.
30/03/2010, 16h33
BenoitDenis

Oui j'y avais pensé mais effectivement ca peut aussi contenir des guillemets

Je suis pas contre encoder moi, c'est juste que je tourne en rond et ne vois pas trop comment faire ;)
30/03/2010, 16h45
RunCodePhp

Citation:

Envoyé par BenoitDenis

Je suis pas contre encoder moi, c'est juste que je tourne en rond et ne vois pas trop comment faire ;)

Citation:

Envoyé par RunCodePhp

Il faut encoder ce caractère, en utilisant htmlspecialschar ou htmlentities (ça dépend des contenus), mettre son entité HTML à la place.

Faut peut être d'abord essayer, non ?

Code:

<input type="text" name="titre" value="<?php echo htmlspecialchars($titre); ?>" style="width:100%">

htmlspecialchars() va encoder les simples et double quotes.
30/03/2010, 16h45
ThomasR

Citation:

Parce que l'injection et la sélection dans la base se font bien, et que c'est a l'affichage dans le champ input que ca part en nouilles...

Raison de plus pour ne pas utiliser addslashes.

Citation:

Envoyé par BenoitDenis

Oui j'y avais pensé mais effectivement ca peut aussi contenir des guillemets
Je suis pas contre encoder moi, c'est juste que je tourne en rond et ne vois pas trop comment faire ;)

Comme dis plus haut, utilises mysql_real_escape_string sur les chaines à enregistrer en base de données.

Comme préconisé par RunCodePHP, préfères utiliser des guillemets plutôt que des quotes pour contenir la valeur des attributs.

Avec tout çà tu n'as aucun souci.
30/03/2010, 16h47
BenoitDenis

Merci, je ne sais pas pourquoi je faisait le htmlspecialchars a la sortie de mon select Sql et ca ne marchait pas.

Est ce lié au fait de fermer et ré-ouvrir les balises Php ?
30/03/2010, 16h51
RunCodePhp

Citation:

Envoyé par ThomasR

Comme dis plus haut, utilises mysql_real_escape_string sur les chaines à enregistrer en base de données.

+1

Les addslashes c'est pas géantissime, mysql_real_escape_string() est faite pour ça.
Si tu rencontre un problème, ça doit être une histoire de gc_machin_truc (je sais plus) (Php4, quand tu me tient ...) :lol:
30/03/2010, 16h57
RunCodePhp

Citation:

Envoyé par BenoitDenis

Merci, je ne sais pas pourquoi je faisait le htmlspecialchars a la sortie de mon select Sql et ca ne marchait pas.

Est ce lié au fait de fermer et ré-ouvrir les balises Php ?

Peut être.
Mais ça pourrait être aussi lié aux espaces farfelus au niveau des attributs :

Code:

<input type = 'text' name = 'titre' ... >

Bref ... fait un code valide, stricte, car c'est du code, il y a des normes à respecter (même si c'est Open ... Source)
Tu rencontrera moins de problème ;)