Interet de BindParam

Version imprimable

Bonjour
J'essaye de comprendre l'interet de la methode bindParam mais j'arrive pas avoir de reponse.
Dans mon code je l'utilise pas , je voudrai savoir si il est comme meme proteger par les injection SQL

Code:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
 
//fichier test.php
<?php
 
	define('HOST', 'localhost' , true);
	define('DBNAME','dev_djit2',true);
	define('LOGIN','root',true);
	define('MDP','',true);
 
 
 
	$connexion = new PDO('mysql:host='.HOST.';dbname='.DBNAME, LOGIN, MDP);
	$connexion->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_WARNING);
 
	function sqlquery($requete, $number)
	{
		global $connexion;
		$query = $connexion->prepare($requete);
 
		$query->execute();
 
		if($number == 1)
		{
			$query1 = $query->fetch(PDO::FETCH_ASSOC);
			//print_r($query1);
			return $query1;
		}
 
 
		else if($number == 2)
		{
			while($query1 = $query->fetch(PDO::FETCH_ASSOC))
			{
				$query2[] = $query1;
 
			}
			return $query2;
		}
 
	}
 
 
?>

et j'utilise cette fonction dans ce fichier

Code:

1
2
3
4
5
6
7
8
9
10
11
12
13
<?php
include('test.php');
 
 
 
	$req = "SELECT membre_id, membre_pseudo, membre_mdp ,membre_pics, membre_prenom, membre_nom FROM membres WHERE membre_id = '59' ";
 
	$retour = sqlquery($req,1);
	$_SESSION['membre_pseudo'] = $retour['membre_pseudo'];
	$_SESSION['membre_mdp'] = $retour['membre_mdp'];
	echo $_SESSION['membre_pseudo'];
	echo $_SESSION['membre_mdp'];
?>

19/08/2010, 21h05
sabotage

Pour utiliser bindparam ou faire une injection SQL il faut qu'il y ait un élément variable dans la requête.
19/08/2010, 21h10
Madfrix

Oui un élément variable provenant d'un utilisateur ayant rempli un formulaire par exemple ou uploadé un fichier de données
19/08/2010, 21h50
misakilou

cela va être le cas par la suite mais dans mon cas c'est impossible que j'utilise bindParam vu que j'ai pas accès aux propriété sde $connnexion

:(
19/08/2010, 21h57
Madfrix

Comment ca tu n'as pas accès...?

par exemple si je veux faire sa

Code:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
 
<?php
include('test.php');
 
 $id= $_POST['id'];
 
        $req = $connexion->bindParam(':id' , $id); 
 
 
 
	$req = "SELECT membre_id, membre_pseudo, membre_mdp ,membre_pics, membre_prenom, membre_nom FROM membres WHERE membre_id = ':id' ";
 
	$retour = sqlquery($req,1);
	$_SESSION['membre_pseudo'] = $retour['membre_pseudo'];
	$_SESSION['membre_mdp'] = $retour['membre_mdp'];
	echo $_SESSION['membre_pseudo'];
	echo $_SESSION['membre_mdp'];
?>

$connexion sera pas reconnu , et je suis pas sur qu'on puisse faire le bind avant , je pense que je fonction sqlquery est mal faite et je vois comment faire pour l'appelé et faire le bind

:(

A voir comment est conçue ta fonction sqlquery ainsi que la construction de ta connexion que tu nous montres pas.

La logique se veut ainsi (exemple avec les requêtes préparées) :
Code:

1 2 3 4 5 6 $statement = $connexion->prepare('SELECT membre_id, membre_pseudo, membre_mdp ,membre_pics, membre_prenom, membre_nom FROM membres WHERE membre_id = :id'); $statement->bindParam(':id', $id, PDO::PARAM_INT); $statement->execute();
Tu n'as pas besoin de quoter tes paramètres dans ta requete, c'est au moment du bindParam que tu définis le type

bah pourtant j'ai bien posté mon fichier test.php bref je le remet la

Code:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
 
//fichier test.php
<?php
 
	define('HOST', 'localhost' , true);
	define('DBNAME','dev_djit2',true);
	define('LOGIN','root',true);
	define('MDP','',true);
 
 
	//connexion BDD
	$connexion = new PDO('mysql:host='.HOST.';dbname='.DBNAME, LOGIN, MDP);
	$connexion->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_WARNING);
 
	function sqlquery($requete, $number)
	{
		global $connexion;
		$query = $connexion->prepare($requete);
 
		$query->execute();
 
		if($number == 1)
		{
			$query1 = $query->fetch(PDO::FETCH_ASSOC);
			//print_r($query1);
			return $query1;
		}
 
 
		else if($number == 2)
		{
			while($query1 = $query->fetch(PDO::FETCH_ASSOC))
			{
				$query2[] = $query1;
 
			}
			return $query2;
		}
 
	}
 
 
?>

19/08/2010, 22h31
Madfrix

Et bien alors tu as accès à tout ;)

Il suffit que tu modifies ta fonction sqlquery et que tu rajoutes un paramètres afind de lui passer un tableau contenant tes bindParams et le tour est joué
19/08/2010, 23h00
misakilou

je vois pas comment utiliser ma variable $connexion dans mon autre fichier
19/08/2010, 23h07
Madfrix
C'est ce que tu fais déjà, tu inclus ton fichier test.php (contenant ta connexion) et tu l'utilises déjà :
Code:

1 2 3 4 5 6 include('test.php'); $id= $_POST['id']; $req = $connexion->bindParam(':id' , $id);
Quel est ton problème ?

si j'ecris ceci

Code:

1
2
3
4
5
6
7
8
9
10
11
12
 
<?php
include('test.php');
 
 
 
	$id = 30;
	$req = "SELECT membre_id, membre_pseudo, membre_mdp ,membre_pics, membre_prenom, membre_nom FROM membres WHERE membre_id = :id";
	$req = $connexion->bindParam(':id' , $id);
	sqlquery($req,1);
 
?>

voila l'erreur que sa me retourne

Code:

1
2
 
Fatal error: Call to undefined method PDO::bindParam()

19/08/2010, 23h24
Madfrix
C'est ce que je t'ai marqué plus haut, le bindParam s'effectue sur un PDOStatement, non sur une connexion.
Code:

1 2 3 4 $statement = $connexion->prepare(...); $statement->binParam(...); $statement->execute();
19/08/2010, 23h24
sabotage

bindParam ne s'utilise pas comme ça
http://php.net/manual/en/pdostatement.bindparam.php

heu oui désolé j'ai ecrit un peu n'importe quoi :p mais j'arrive pas a voir dans mon cas comment faire le bind

j'arrive a comprend a le faire fonctionner si je l'écris comme cela

Code:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
 
<?php
 
	define('HOST', 'localhost' , true);
	define('DBNAME','dev_djit2',true);
	define('LOGIN','root',true);
	define('MDP','',true);
 
	$connexion = new PDO('mysql:host='.HOST.';dbname='.DBNAME, LOGIN, MDP);
	$connexion->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_WARNING);
 
	$id = 30;	
 
	$req = $connexion->prepare("SELECT  membre_nom FROM membres WHERE membre_id = :id");
	$req->bindParam(':id',$id);
	$req->execute()
?>

C'est bon j'ai trouvé une solution , je crois que hier j'étais trop fatigué :p

Code:

1
2
3
4
5
6
7
8
9
include('test.php');
<?php
 
	$id = '59';	
 
	$req = $connexion->prepare('SELECT  membre_mail,membre_pseudo FROM membres WHERE membre_id = :id');
	$req->bindParam(':id',$id,PDO::PARAM_STR);
	$query1 = sqlquery($req,1);
?>

et dans ma fichier test.php

Code:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
 
function sqlquery(PDOStatement $PDOst,$number)
	{
		global $connexion;
 
 
		$query = $PDOst->execute();
 
		 if($number == 1)
		 {
			 $query1 = $PDOst->fetch(PDO::FETCH_ASSOC);
			 print_r($query1);
			 return $query1;
		 }
}

Merci encore de votre aide :)