[REGLÉ ]If ... else ...

[Single Dark]

Voilà, c'est fait près de 1 heure que je cherche une solution à mon problème, et je trouve pas :

Alors voici mon problème :
Je suis en train de coder un section ou le joueur peut modifier les options de sont profil.

Mais j'ai un problème avec l'avatar du joueur. Si le joueur n'entre pas de lien pour son avatar, je doit lui en designé une, or ca veut pas.

Voici une partie du code en question :
PS: je sais, c'est pas sécurisé mais je ferai sa quand sa marchera.

Code PHP :

<?php 

if    (isset    ($_POST['avatar']))

    {

        $avatar = $_POST['avatar'];

        $erreur = "Avatar";

    }



else

    {                

$avatar="http://upload.wikimedia.org/wikipedia/commons/thumb/8/8d/No-Symbol.svg/600px-No-Symbol.svg.png";

$erreur = "Le champs avatar est vide.";

    }

                                    

mysql_query("UPDATE comptes SET     

login='$new_login',

pass='$new_mdp',

email='$new_email',

image='$avatar'

WHERE id='$id_joueur'")                                     

or die ("Erreur dans l'update de la base sql"); 

[Maegia]

Et si ton $_POST['avatar'] était tout de même envoyé, mais vide ? Réessais en mettant comme condition dans ton if :

Code PHP :

<?php 

if (isset($_POST['avatar']) && $_POST['avatar'] != ''){...} 

[Single Dark]

Je te remercie Maegia, ca fonctionne ... XD


P.S: Justement, vu que mon script fonctionne, grâce a toi, je vais le sécurisé, comme je l'ai dit plus haut...

[Single Dark]

Tiens une question es ce que "mysql_real_escape_string" est suffisant au niveau de la sécurité ?

Ou je doit utiliser un systeme plus complexe, Regex ?



P.S: Oups sorry pour le double post, pas fait expret

[Maegia]

Voici ce qui est suggéré sur le portail Nexen.net concernant la protection contre les injections SQL :

Code PHP :

<?php

// Protège la variable

function quote_smart($value)

{

   // Stripslashes

   if (get_magic_quotes_gpc()) {

      $value = stripslashes($value);

   }

   // Protection si ce n'est pas un entier

   if (!is_numeric($value)) {

      $value = "'" . mysql_real_escape_string($value) . "'";

   }

   return $value;

}



// Connexion

$link = mysql_connect('mysql_host', 'mysql_user', 'mysql_password')

OR die(mysql_error());



// Fabrication d'une requête sécurisée

$query = sprintf("SELECT * FROM users WHERE user=%s AND password=%s",

quote_smart($_POST['username']),

quote_smart($_POST['password']));



mysql_query($query);

?>

[elazard]

j'ai une question ( c'est surement débil comme d'hab) : ca veut dire quoi ca user=%s AND password=%s"
fin je veux dire les %

[Plume]

Pour comprendre il faut lire la doc de sprintf

@ tchaOo°

[elazard]

merci
Elazard qui n'a rien (mais alors là rien) capté et qui va continuer à faire ses ptites requetes de noob^^

[Plume]

Raaah p'tit joueur !

Bon le principe est simple : sprintf sert à formater une chaîne avec des paramètres.
D'un côté, c'est une méthode sûre, notamment pour le cas des requêtes.
D'un autre, elle permet une bonne lisibilité du code et notamment du contenu de la requête, même si personnellement je ne l'utilise pas.

Ce qu'il faut comprendre, c'est que %s, ça n'a rien à voir avec du SQL.

Code PHP :

<?php 

sprintf("SELECT * FROM users WHERE user=%s AND password=%s",

quote_smart($_POST['username']),

quote_smart($_POST['password']));