Ma requête php s'affiche lors du résultat help!

webac · 6 Septembre 2006

bonjour voici mon code :

Code:

$id  = $_GET ["serie"] ;
  $mat = $_GET ["materiel"];
  
  $sql = "DELETE
          FROM materiel
	    WHERE serie='$id'";
  echo $sql ;	    
    $requete = mysql_query($sql, $cnx)  ;
  
  
  if($requete)
  {
    echo"<font color='white'><B>$mat supprimé(e)</font>";
  }  
  else
  {
    echo("<font color='white'><B>La suppression à échouée</font>") ;
  }
  include ('ajoutmateriel.php');
?>

lors de l'affichage du résultat j'obtiens ceci :

Code:

DELETE FROM materiel WHERE serie='P405857462'MSI supprimé(e)

Je ne souhaite afficher que MSI supprimé(e)

merci de m'éclairer

e-kiwi · 6 Septembre 2006

echo $sql ; <= traduction : affiche moi la requete

biscuit · 6 Septembre 2006

salut

tu as un echo $sql qui traîne juste avant $requete = mysql_query()

-- EDIT --
Oups, grillé par un cyber kiwi.. c'est alimentation-connection !

webac · 6 Septembre 2006

autant pour moi j'ai oublié de l'enlever merci beaucoup pour le coup de pouce

e-kiwi · 6 Septembre 2006

>> autant pour moi
au temps pour moi

jeroen · 6 Septembre 2006

e-kiwi a dit:
>> autant pour moi
au temps pour moi

un grand classique cette remarque maisles deux formulations sont permises :wink:

e-kiwi · 6 Septembre 2006

permis mais pas justifié

http://www.academie-francaise.fr/langue ... l#au_temps

ltressens · 6 Septembre 2006

Je rebondi sur cet exemple :

Code:

$id  = $_GET ["serie"] ;
$sql = "DELETE FROM materiel WHERE serie='$id'";

pour parler un peu de blindage de vos scripts (pas seulement toi webac).

Si l'utilisateur appelle la page en donnant a serie la valeur :

Code:

toto' OR '1'='1

Voici la requete que vous exécuterez :

Code:

DELETE FROM materiel WHERE serie='toto' OR '1'='1'

Donc il flinguera toute votre base.

Cela s'appelle de l'injection SQL.

Evidemment cela sert a flinguer une base, se logguer sans connaitre les passwords, etc...

Donc conseils :
utiliser mysql_escape_string() ou mysql_real_escape_string() sur les variables récupérées de $_GET ou $_POST (pensez a enlever les slashes aussi avec stripslashes()) :

Code:

$id = mysql_escape_string(stripslashes($_GET['serie']));

Il y a des centaines d'autres conseils a respecter, google est votre ami : https://www.google.fr/search?sourceid=na ... on+sql+php