Sécurité contre les injections SQL

Marsh Posté le 22-11-2008 à 03:44:07

Bonjour à tous !

En fait j'ai une page web dans laquelle je récupère une variable numérique ($_GET['id']).

J'ai ensuite mis un code (il fonctionne) mais j'aimerais savoir si il est efficace pour se protéger contre les injections SQL :

Code :

mysql_connect("...", "...", "..." );
mysql_select_db("..." );
$id = (isset($_GET['id'])) ? abs(intval($_GET['id'])) : 0;
$req = "SELECT * FROM affilies WHERE id='".$id."';";
$retour = mysql_query($req) or die ($req.'<br>'.mysql_error());
if (mysql_num_rows($retour) == 1)
{
$donnees = mysql_fetch_array($retour);

On me dit que je dois utiliser mysql_real_escape_string mais comme ma variable est numérique, je me demande si j'en ai besoin.

Pouvez-vous me dire si ce code est bon pour être suffisamment sécurisé ?

Merci pour votre aide.

Message édité par Generation-Web le 26-11-2008 à 00:04:25

---------------
Site web d'informations sur internet

Marsh Posté le 22-11-2008 à 03:44:07

Marsh Posté le 22-11-2008 à 07:06:26

mysql_real_escape_string c'est pour les chaînes qui peuvent potentiellement contenir tout et n'importe quoi.

Là tu t'assures que tu passes une valeur numérique dans ta requête, donc ça suffit amplement.

---------------
StarCraft Professional Gaming Database | [Ze Topic] Starcraft/BroodWar

Marsh Posté le 22-11-2008 à 13:25:18

Hello,
on en a aussi parlé par là : http://forum.hardware.fr/hfr/Progr [...] 9284_1.htm

---------------
NewsletTux - outil de mailing list en PHP MySQL

Marsh Posté le 22-11-2008 à 16:33:06

N'utilise que des requêtes préparées.

Message cité 1 fois

Marsh Posté le 26-11-2008 à 00:05:30

Taz a écrit :

N'utilise que des requêtes préparées.

C'est nikel !

---------------
Site web d'informations sur internet