Re: Proteger les champ

Retourner au contenu associé (entrée de forum : Éviter les Injections SQL)

[^] # Re: Proteger les champ

Posté par astennu le 22 mars 2005 à 17:02. En réponse au message Éviter les Injections SQL. Évalué à 1.

Pour "escaper" la chaine SQL en MySQL, on peut utiliser la fonction suivante : mysql_real_escape_string () ( http://www.php.net/manual/fr/function.mysql-real-escape-string.php)(...)

Le problème, c'est lorsqu'on développe avec autre chose que MySQL, là ça peut se compliquer ... enfin pas vraiment : http://us4.php.net/manual-lookup.php?pattern=escape_string&lang(...)

On peut très bien se baser sur le type de base de données utilisé pour apeller la bonne fonction :

define ("dbType", "MySQL");
$escapeStringFunction = dbType . "_escape_string";
$securedQuery = $escapeStringFunction ($unSecuredQuery);

J'ai fait une version "feignasse", mais dans la pratique, on pourrait tester si le type de base est MySQL et utiliser mysql_real_escape_string dans ce cas, sinon utiliser dbType . "_escape_string".