Utilisez PDO (PHP Data Objects) pour vous connecter à votre base de données MySQL. Cette méthode garantira que toutes les entrées de la base de données seront toujours traitées comme des chaînes de texte et vous n'aurez jamais à faire d'échappement manuel.
Ceci combiné avec une utilisation appropriée de html_entities() pour afficher les données de votre base de données est un moyen solide et efficace de protéger votre page contre l'injection. J'utilise toujours PDO pour gérer toutes mes connexions à la base de données dans mes projets.
Créez un objet de base de données (et dans ce cas, appliquez un certain codage de caractères) :
try {
$db = new PDO("mysql:host=[hostname];dbname=[database]",'[username]','[password]');
$db->setAttribute(PDO::MYSQL_ATTR_INIT_COMMAND, "SET NAMES utf8");
$db->setAttribute(PDO::ATTR_ERRMODE,PDO::ERRMODE_EXCEPTION);
$db->exec('SET NAMES utf8');
} catch (PDOException $e) {
echo $e->getMessage();
}
Alors utilisez-le comme ceci :
$id = 1;
$q = $db->prepare('SELECT * FROM Table WHERE id = ?');
$q->execute(array($id));
$row = $q->fetch();
echo $row['Column_1'];
ou
$q = $db->prepare('UPDATE Table SET Column_1 = ?, Column_2 = ? WHERE id = ?');
$q->execute(array('Value for Column_1','Value for Column_2',$id));
et avec des jokers :
$search = 'John';
$q = $db->prepare('SELECT * FROM Table WHERE Column_1 LIKE ?');
$q->execute(array('%'.$search.'%'));
$num = $q->rowCount();
if ($num > 0) {
while ($row = $q->fetch()) {
echo $row['Column_1'];
}
} else {
echo "No hits!";
}
En savoir plus :
Comment puis-je empêcher l'injection SQL en PHP ?
Quand *ne pas* utiliser les instructions préparées ?
dans quelle mesure les instructions préparées par PDO sont-elles sûres
http://php.net/manual/en/book.pdo.php
