apostrophe dans requête

Bonjour le forum
Je cherche à fiabiliser une requête sql pour qu'elle fonctionne même si les champs NOM et PRENOM contiennent des simples cotes : '

Code:

---

$sql="select ID from INDIVIDUS where NOM like '".stripslashes($HTTP_POST_VARS['NOM_IND'])."' and IND_PRENOM like '".stripslashes($HTTP_POST_VARS['PRENOM_IND'])."'";

---

mais ça plante :

Code:

---

1 2	Warning: SQL error: [Microsoft][ODBC Microsoft Access Driver] Syntax error (missing operator) in query expression 'IND_NOM like 'DELL'ERA' and IND_PRENOM like 'DANIEL'LE'

---

J'ai essayé avec stripslashes, peut être faut-il faire autrement, mais cela me dépasse ....
Pouvez vous m'aider ?
Merci par avance
;)

Bonjour,
Et si tu écrivais comme ceci :

Code:

---

$sql="select ID from INDIVIDUS where NOM like '".addslashes($HTTP_POST_VARS['NOM_IND'])."' and IND_PRENOM like '".addslashes($HTTP_POST_VARS['PRENOM_IND'])."'";

---

Je te conseille tout de même de te documenter sur l'injection SQL avant de lancer complètement ton site. Une petite explication ici http://securite.developpez.com/faq/?..._sql_injection

Dans SQL Server on double les quotes, c'est peut être pareil pour Access

Code:

---

$sql="select ID from INDIVIDUS where NOM like '".str_replace("'","''", $_POST['NOM_IND'])."' and IND_PRENOM like '".str_replace("'","''",$_POST['PRENOM_IND'])."'";

---

Bonjour
Le addslashes ajoute une \ de plus, ce n'est pas bon :

Code:

---

1 2	Warning: SQL error: [Microsoft][ODBC Microsoft Access Driver] Syntax error (missing operator) in query expression 'IND_NOM like 'DELL\\\'ERA' and IND_PRENOM like 'DANIEL\\\'LE'

---

Par contre le str_replace donne:

Code:

---

select IND_ID from INDIVIDUS where IND_NOM like 'DELL\''ERA' and IND_PRENOM like 'DANIEL\''LE'

---

donc la bonne syntaxe serait :

Code:

---

str_replace("'","''", stripslashes($HTTP_POST_VARS['PRENOM_IND']))

---

je teste et marque résolu si c'est bon ....

A+
et encore merci
:)