injections SQL : caractères utilisés, ôter moi un doute

[Holy]

Je trouve votre approche bizarre…

Quelle drôle d'habitude que de transformer les données qu'on vous transmet quel que soit son usage.
Vous traitez (ou maltraitez ^^) de la même façon les chaînes à destination d'une base de données, de services Web, etc.

L'échappement pour MySQL doit se faire au moment d'une requête à MySQL, non ?


Sephi-Chan

J'dois mal comprendre, mais y a quoi qui empêche qu'y ait une requête SQL derrière ? Que je sécurise mes variables dans ma requête ou trois lignes avant, c'est la même chose, non ?

Et en l'occurrence, j'ai bien un traitement différencié puisque la fonction crée deux variables automatiquement. Alors oui, je perds sûrement un millième de performance parce que je n'utilise pas systématiquement $sql_var ou $var, mais ça reste fonctionnel et pratique ^^.