Forum d'entraide PHPFrance

J'ai ajouté mysql_real_escape_string et mon script d'authentification ne marche plus

if(isset($_POST['login'])) $login= utf8_decode($_POST['login']); else $login="inconnu";
if(isset($_POST['secret'])) $secret= utf8_decode($_POST['secret']); else $secret="inconnu";
$login=mysql_real_escape_string($login);
$secret=mysql_real_escape_string($secret)


Merci de votre aide.

T'es-tu connexté à MySQL au début du script ???

Oui. voila mon script complet habituel.

<?php
//appel des header pour bloquer le cache
require_once('blocageCache.php'); 
//active les sessions
session_start(); 
//récupération des variables envoyées par Flash
if(isset($_POST['login'])) $login= utf8_decode($_POST['login']); else $login="inconnu";
if(isset($_POST['secret'])) $secret= utf8_decode($_POST['secret']); else $secret="inconnu";
$login=addslashes($login);
$secret=addslashes($secret);



//--------------FONCTIONS 
function envoi($var, $val){
echo "&".$var."=".utf8_encode($val);
}
//--------CONNEXION ET SELECT BASE ------------
require_once('Connections/connexionLogin.php'); 
mysql_select_db("maBase");

//---------RECUP DES INFOS (depuis la table )
$query_rs = "SELECT * FROM utilisateurs WHERE login='$login' ";
$rs = mysql_query($query_rs, $connexionLogin) or die(mysql_error());
$row_rs = mysql_fetch_assoc($rs);
$total_rs=mysql_num_rows($rs);
//---------TEST DE D'EXISTENCE ET DE CONCORDANCE LOGIN/PWD
if(($secret == $row_rs['secret'])&&($total_rs!=0)){
//test si le controle du mot de passe est ok
$_SESSION['login']=$login;
//mémorise le login de l'utilisateur en session
envoi("retour","ok");
$idUtilisateur = $row_rs['idUtilisateur'];
$_SESSION['idUtilisateur']=$idUtilisateur;
envoi("idUtilisateur",$idUtilisateur);
$produit=$row_rs['produit'];
envoi("produit",$produit);
//envoie la confirmation de l'authentification à l'application Flash 
}
else
{
envoi("retour","pb");
//dans le cas contraire, un message d'erreur est renvoyé à l'application Flash
}

?>

J'ai simplement voulu remplacer
$login=addslashes($login);
$secret=addslashes($secret);

par

$login=mysql_real_escape_string($login);
$secret=mysql_real_escape_string($secret)  

pour me protéger d'une injection sql.
Mais je n'arrive plus à me connecter.

Message reçu truc.
C'est beaucoup plus lisible effectivement.

Il faut que ta connexion soit ouverte avant d'utiliser ces fonctions, c'est là qu'il y a un problème...

Pigé.
Faut-il utiliser mysql_real_escape_string sur toutes mes variables string ?

[Note : ce message a été posté de manière anonyme avant d'être réattribué à son auteur]

uniquement pour celles dont tu va te servir pour tes requêtes, pour les autres, un html specialchars() suffira

Merci katagoto

C'est fait