|
Voir le sujet précédent :: Voir le sujet suivant
|
| Auteur |
Message |
| |
|
zimounet
WRInaute accro
Inscrit le: 08 Nov 2004
Messages: 1799
Localisation: Physiquement ou mentalement?
|
 Posté le : Lun Oct 24, 2005 6:19 Sujet du message: Insertion SQL... |
|
|
Faut il mieux
Echapper les guillemets et simple guillemets avec addslashes, ou convertir en html avec htmlentities (puis éventuellement ENT_quotes) avant insertion?
Cela ne pose-il pas probleme lors de recherches ou requetes, comparaison, classement etc dans la bdd?
Plus généralement, quel traitement faites vous subire, et de quel manière aux chaines inséré par le visiteur (formulaire etc) |
|
| |
|
 |
spout
WRInaute passionné
Inscrit le: 14 Mai 2003
Messages: 707
Localisation: Manhay (Belgique)
|
| Posté le : Lun Oct 24, 2005 6:38 Sujet du message: Re: Insertion SQL... |
|
|
| zimounet a écrit: |
Plus généralement, quel traitement faites vous subire, et de quel manière aux chaines inséré par le visiteur (formulaire etc) |
1° addslashes (Magic Quotes désactivé)
2° strip_tags
3° trim |
|
| |
|
|
petit-ourson
WRInaute passionné
Inscrit le: 31 Mai 2004
Messages: 789
Localisation: Paris
|
| Posté le : Lun Oct 24, 2005 9:09 Sujet du message: Insertion SQL... |
|
|
J'aurai dit que l'un des deux fonctions suivantes suffiraient :
string mysql_escape_string ( string unescaped_string )
ou
string mysql_real_escape_string ( string unescaped_string [, resource link_identifier] )
J'aime bien conserver une base de données clean, on ne sait jamais si on souhaite la réutiliser avec autre chose. |
|
| |
|
|
sgaze
WRInaute passionné
Inscrit le: 02 Fév 2004
Messages: 538
Localisation: Clichy la Garenne !
|
| Posté le : Lun Oct 24, 2005 10:23 Sujet du message: Insertion SQL... |
|
|
Je crois que tout est dit dans la doc :
| Citation: |
Cette fonction doit toujours (avec quelques exceptions) être utilisée pour protéger vos données avant d'envoyer la requête à MySQL.
...
L'utilisation de la fonction mysql_real_escape_string() sur chaque variable évite les injections SQL. Cet exemple démontre la méthode la plus propre pour envoyer une requête à la base, indépendamment de votre configuration des guillemets magiques. |
Exemple à la page : http://fr2.php.net/manual/fr/function.mysql-real-escape-string.php
| Citation: |
| Si magic_quotes_gpc est activée, appliquez d'abord la fonction stripslashes() à vos données. |
|
|
| |
|
|
| |
|
|
