[REGLE]Question sur htmlspecialchars

[Archange]

Bonjour bonjour,

J'ai une petite question sur le htmlspecialchars,
Donc, j'avais zapper qu'il fallait le mettre sur les POST, et enfaite ma question est dois-je mettre htmlspecialchars sur TOUTES mes variables POST ? ( dans les if , les calculs....)

Merci

A oui aussi ,htmlspecialchars ou bien htmlentities ?

[Loetheri]

Cela dépend ce que tu veux faire.

Tu veux insérer dans une DB ? utilise mysql_escape_real_string()
Tu veux afficher en toute sûreté ? utilise htmlentities()

Sinon dans les autres cas, tu n'as pas besoin. Mais j'ai peut-être oublié.

[zzarbi]

Oui généralement le htmlentities, tu en as besoin que quand tu veux afficher une variable qui contient du code html...

Pour eviter les hacks il faut utiliser mysql_escape_real_string(), pour le stockage en bdd.

[Aramiil]

ou si tu veux et sécuriser ton affichage et éviter les hacks, utilise htmlentities() avec le second attribut à ENT_QUOTES. C'est bien sûr un choix dont on peut discuter vu qu'il alourdit légèrement les informations stoquées dans la base de données, en revanche il évite un appel répété à la fonction htmlentities et enlève les risques de piratages puisque les ' et " sont remplacés par leurs équivalents HTML.

[Archange]

Oué enfaite je veu m'en servir en gros lorsque par exemple on met 15 unité de "truc" en vente ,

Merci de vos réponse, je n'etait pas sur entre htmlspecialchars et htmlentities car j'ai lus que le premier etait moin lourd, mais donc comme vous me dite que l'autre est mieux ...ba je prend l'autre Merci

[Loetheri]

htmlentities est complètement inutile pour insérer dans une base de données ! Que cela soit avec un argument ou non !

htmlentities est utile pour l'affichage.

Bien entendu, si vous souhaitez surcharger votre base de données, donnez-vous en à coeur joie !

[Maegia]

Crées-toi une petite fonction, du genre :

function verification($x){
return htmlspecialchars(mysql_escape_real_string(htmlentities($x)));
}

J'ai mis ces fonctions là comme exemple nul, mais bien sûr, tu mets les fonctions que tu veux... Tu passes ensuite chacun de tes POST dans ta fonction de vérification, et voilà.

[Loetheri]

Faites ce que vous voulez mais mysql_real_escape_string nécessite une connexion à une base MySQL. mysql_escape_string() lui n'en requiert pas.

[Archange]

Merci de votre aide ba je vai prendre celui ci je pense mysql_escape_real_string()

[Aramiil]

htmlentities est complètement inutile pour insérer dans une base de données ! Que cela soit avec un argument ou non !

htmlentities est utile pour l'affichage.

Bien entendu, si vous souhaitez surcharger votre base de données, donnez-vous en à coeur joie !

C'est un peu hors-sujet, mais...

J'aimerais bien un argument là-dessus ? Si ce n'est que pour l'insertion, je suis d'accord, mais je répète mon argument :

page a.php

Code PHP :

<?php



session_start();



$a = htmlentities($_POST['a'], ENT_QUOTES);



$db = mysql_connect('toto', 'tata', 'titi');

mysql_select_db('tutu', $db);

mysql_query('UPDATE membres SET pseudo = "' . $a . '" WHERE id = ' . $_SESSION['id'], $db);

?>