Est ce sécurisé de concaténer dans une requête sql ? Fermé

Question

Bonjour,
C'est dans le titre.
Voici un exemple : $dbreq[1] = $ddb['f']->execute('SELECT * FROM `'.$id.'` WHERE id=`'.$seg.'`');
Cordialement.

jordane45 · Answer

Bonjour,
Le mieux est d'utiliser  le BINDING de variables si tu travailles en mysqli  ou les requêtes préparées si tu bosses en PDO
Par contre, le binding (ou les requêtes préparées) ne fonctionnent que pour les variables que tu utilises dans le WHERE de tes requêtes.....   pour ce qui est du FROM , là tu n'as pas d'autres choix

Bien entendu, le risque ne dépend, en réalité, que de la provenance des variables....
Si elles sont accessible à l'utilisateur (soit car elles proviennent d'un formulaire html soit car elles sont envoyées via l'url )

ZombieBot0001 · Answer

Dans mon cas, la variable pour le FROM provient du formulaire...
Que faut-il faire pour sécuriser cela ?

jordane45 · Answer

Et bien.. dans ton formulaire tu proposes un "select" (une liste déroulante) avec le nom de tes tables et renvoyant vers un ID et côté php tu gères avec des if/else ou un SWITCH l'écriture du nom "réel" de ta table Par exemple et côté php $table = !empty($_POST['table']) ? $_POST['table'] : NULL; switch($table){ case 1: $laTable= "tabletoto"; break; case 2: $laTable= "tabletruc"; break; default: echo "Table inconnue !!"; break; } $sql = "'SELECT * FROM `'.$laTable.'`"; try{ $ddb['f']->execute($sql); }catch(Exception $e){ echo "
Erreur dans la requête :
".$sql; echo "
Erreur : ". $e->getMessage(); } NB: Tu sembles bosser en PDO.. je t'invite donc à lire et à appliquer ce qui est indiqué ici : https://forums.commentcamarche.net/forum/affich-37584941-php-pdo-gerer-les-erreurs Et également, vu que tu sembles débutant...ceci : https://forums.commentcamarche.net/forum/affich-37584947-php-gestion-des-erreurs-debogage-et-ecriture-du-code et pour finir, ça ne fait pas de mal.. ) ça : https://forums.commentcamarche.net/forum/affich-37584944-php-html-caracteres-accentues-et-l-utf8 Voila. https://www.commentcamarche.net/infos/25917-forum-ccm-mode-d-emploi-marquer-mon-sujet-comme-resolu/

jordane45 · Answer

Je reviens sur un message précédent...
Tu indiques :

J'ai besoin que l'utilisateur puisse choisir (En saisissant une chaîne de caractères) une table parmi des millions

Là... je vois deux soucis ...
Primo... comment peux tu avoir des "millions" de tables dans ta bdd ?
Secondo.. qu'est-ce qui justifie qu'un utilisateur puisse avoir accès à cette liste de tables ?

Est ce sécurisé de concaténer dans une requête sql ?

4 réponses

Discussions similaires