Forum d'entraide PHPFrance

Est-ce que cette formulation me protège des injections php tout en permettant l'échappement des apostrophes ?

$coeur=mysql_escape_string(addslashes($coeur));

Oui, avec htmlspecialchar() ça fait le même résultat si je me trompe pas...

Est-ce que cette formulation me protège des injections php tout en permettant l'échappement des apostrophes ?

$coeur=mysql_escape_string(addslashes($coeur));

C'est pas bon. mysql_escape_string va ajouter des slashes donc va faire double emploi avec addslashes. Tu auras trop de slashes insérés dans ton texte.

Bon alors j'adopte

$coeur=mysql_escape_string(($coeur);

en croisant les doigts pour que ma base soit à l'abri des injections sql

htmlspecialchars() mais je ne suis pas sûr, si quelqu'un pouvais confirmer...

Il est très recommandé d'utiliser mysql_real_escape_string() cf doc http://fr2.php.net/function.mysql-real-escape-string

Cette fonction doit toujours (avec quelques exceptions) être utilisée pour protéger vos données avant d'envoyer la requête à MySQL.