bonjour;
j'ai un lien comme suite: index.php?contenu=1
est-il possible de le mettre ainsi: index.php/c1
j ai entendu parle de urlencode mais je savais pas comment le faire pour tous les liens
merci
la communauté d'entraide francophone dédiée au PHP
Protection contres les injections SQL
Mammouth du PHP |
2937 Messages
De plus, je ne vois pas en quoi cela concerne les injections SQL. Je suppose que tu voulais parler de paramètres d'URL.
C'est vrai, quel rapport avec les injections SQL ? Comme l'a dit Cyrano, le réécriture d'URL semble la meilleure solution pour ce que tu veux faire. Attention à ce que ton serveur supporte l'URL rewriting (ce qui reste très probable). A vérifier toutefois dans le phpinfo()
Au pire tu pourra toujours le simuler grâce à la gestionde l'erreur 404, c'est marrant à faire,
oui oui je sort ^^
oui oui je sort ^^
"À ceux qui poursuivent leurs rêves et se spécialisent dans l'impossible" Joseph Kong
10 ans de PHP, déjà.
"moi jtrouve que katagoto il déchire!" Nagol
10 ans de PHP, déjà.
"moi jtrouve que katagoto il déchire!" Nagol
Invité
Invité n'ayant pas de compte PHPfrance
j'ai un lien comme suite: index.php?contenu=1
index.php?contenu=select * from ...
Mammouth du PHP |
2937 Messages
Preuve, s'il en est, qu'il faut toujours vérifier si un $_GET['contenu'] a été récupéré et s'il correspond à une valeur à laquelle on s'attend.1 est le id que j'ai recupere, j'ai entendu parle qu'on peut faire ainsi:j'ai un lien comme suite: index.php?contenu=1
index.php?contenu=select * from ...
D'ailleurs en cliquant sur la fonction mysql_real_escape_string() tu verras dans les exemples, un exemple d'attaque par injection SQL.
Donc
1/Vérifier si possible que la variable dans l'url correspond à une valeur attendue. Au minimum on peut souvent tester le type et/ou caster les valeurs numériques. Exemple
2/Dans tous les cas (ou presque) utiliser la fonction mysql_real_escape_string() pour protéger la requête.
Donc
1/Vérifier si possible que la variable dans l'url correspond à une valeur attendue. Au minimum on peut souvent tester le type et/ou caster les valeurs numériques. Exemple
<php?
$contenu = isset($_GET['contenu'])? intval($_GET['contenu']) : 0;
?>2/Dans tous les cas (ou presque) utiliser la fonction mysql_real_escape_string() pour protéger la requête.