Forum d'entraide PHPFrance

Bonjour,

Pour les modérateurs : désolé, je n'ai pas trouvé de titre explicite

Sinon, j'ai télécharger un script et j'ai cette fonction pour chaque valeur passer en POST :

<?php
function formulaires($valeur)
	{
	$valeur=trim(htmlspecialchars(addslashes($valeur)));
	return $valeur;
	}


?>

A quoi sert cette fonction, ca sert pour une sécurité ?

Merci

Bonjour,

Pour les modérateurs : désolé, je n'ai pas trouvé de titre explicite

Sinon, j'ai télécharger un script et j'ai cette fonction pour chaque valeur passer en POST :

<?php
function formulaires($valeur)
	{
	$valeur=trim(htmlspecialchars(addslashes($valeur)));
	return $valeur;
	}


?>

A quoi sert cette fonction, ca sert pour une sécurité ?

Merci

htmlspecialchars() est pratique pour éviter que des données fournies par les utilisateurs contiennent des balises HTML, comme pour un forum ou un chat

Merci de vos réponses, c'est sympa

Attention cependant, car utiliser systématiquement addslashes pour traiter des variables issues de ton formulaire suppose que la configuration serveur de get_magic_quotes_gpc() est sur off, ce qui n'est pas encore toujours le cas. Pour que cela fonctionne quelque soit la config serveur tu peux faire

function formulaires($valeur)
    {
    $valeur= (get_magic_quotes_gpc())? $valeur : addslashes($valeur);
    $valeur=trim(htmlspecialchars($valeur));
    return $valeur;
    }

Bonjour,

je remonte ce topic de 5 ans

Mais comme ma question est un peu identique ...

J'ai ce code :
Est-ce possible de faire ceci pour encore augmenter la sécurité contre les injections sql :
?

Merci.

Avec addslashes la fonction ajoute des \ pour protéger (on dit aussi echapper) les ', \, ... avec mysql_real_escape_string(), elle échappe aussi ie si tu fais :

$retour = "'";
echo addslashes(mysql_real_escape_string($retour));

tu auras normalement un texte comme cela => \\\'
Aussi ce sera redondant. Je dirais soit mysql_real_escape_string soit addslahes mais pas les deux en même temps.

Si tu vas ici http://lu.php.net/manual/fr/function.addslashes.php, tu liras qu'il faut mieux echapper les variables textes en fonction du contexte. Aussi mysql_real_escape_string() sera à privilégier en cas de protection vers une base mysql.