PHP

[RESOLU][PHP][MYSQL]requête Mysql (INSERT)

Recherche :

Mot : Pseudo : Filtrer
Bas de page
Auteur	Sujet : [RESOLU][PHP][MYSQL]requête Mysql (INSERT)

recep

bonjour,

voilà j'ai un problème que je n'arrive pas a résoudre.
voici mon code :

Code :

$nomOrigine = $_FILES['chemin']['name'];
$elementsChemin = pathinfo($nomOrigine);
$extensionFichier = $elementsChemin['extension'];
$extensionsAutorisees = array("jpeg", "JPEG", "jpg", "JPG", "gif", "GIF", "pdf", "PDF" );
if (!(in_array($extensionFichier, $extensionsAutorisees))) {
echo "Le fichier n'a pas l'extension attendue";
} else {
$repertoireDestination = dirname(__DIR__)."\\fichiers\\";
$nomDestination = "news".date("YmdHis" ).".".$extensionFichier;
if (move_uploaded_file($_FILES["chemin"]["tmp_name"], $repertoireDestination.$nomDestination)) {
} else {
echo "Le fichier n'a pas été uploadé (trop gros ?) ou ".
"Le déplacement du fichier temporaire a échoué".
" vérifiez l'existence du répertoire ".$repertoireDestination;
}
}
global $nomDestination;
$arrayChaine=explode(".",$nomDestination);
$chaine = $arrayChaine[0];
echo $chaine; --> m'affiche bien ex. = news20150128114011
$DB->query("INSERT INTO rdq_news (id,titre,contenu,date,chemin) VALUES('',$titre,$contenu,$date,$chaine)" );
//$DB->query("INSERT INTO rdq_news (id,titre,contenu,date,chemin) VALUES('',$titre,$contenu,$date,'news20150128114011')" );

dans ce bout de code, je désire Uploader un fichier vers un dossier ("MonSite\fichiers\" ), lorsque j'utilise la commande (en commentaire - en vert) d'insertion dans la DB du nom du fichier cela fonctionne, mais si j'utilise cette fois-ci la commande (en bleu) où j'indique au niveau du champ "chemin" ma variable $chaine, là ça ne fonctionne pas, je n'ai aucune ligne qui vient s'ajouter dans la DB, je n'ai pas d’erreur (tester avec un try-catch) et mon fichier est bien Ulpoader dans mon dossier.

je ne comprends pas pourquoi lorsque j'indique le nom du fichier 'comme dans le commentaire' cela fonction et pas de l'autre manière...

Si quelqu'un à une idée?

Message édité par recep le 29-01-2015 à 11:57:54

Publicité

olivthill

Ne manquerait-il pas des apostrophes autour de la chaine ?
Personnellement, je construis toujours en concaténant avec le point. Par exemple :

Code :

$DB->query("INSERT INTO rdq_news (id,titre,contenu,date,chemin) VALUES('','".$titre."', '".$contenu."', ".$date.", '".$chaine."')" );

Message cité 1 fois

recep

olivthill a écrit :

Ne manquerait-il pas des apostrophes autour de la chaine ?
Personnellement, je construis toujours en concaténant avec le point. Par exemple :

Code :

$DB->query("INSERT INTO rdq_news (id,titre,contenu,date,chemin) VALUES('','".$titre."', '".$contenu."', ".$date.", '".$chaine."')" );

Merci, mais cela ne fonctionne pas non plus...
Voici la structure de ma table :
https://drive.google.com/file/d/0B2 [...] sp=sharing

peut-être que le "type" de mon champs n'est pas bon ???

recep

Là je sèche... personne n'a une idée d'où mon problème peut-il venir? :??:

hinomura

Tu as fais un var_dump de ta variable chaine ?

Comme l'a dit olivthill, déjà échappe obligatoirement tes insertions ( rajoute tes variables entre ' ' et mets y au moins du addslashes ou du mysql_real_escape_string ou encore $DB->quote($mavar) )

Ensuite je serai toi, je ferai une variable query = ta requete avec les différentes concaténations, un echo/die de la variable query, et tu l'executes en direct sur ta base.

FlorentG

Unité de Masse

Faut regarder si la méthode query ne renvoie pas une erreur. $DB c'est quoi comme objet ?

antac

pense à ajouter un addslashes avant tes variables pour éviter les caractères d'échappements

pas besoin de mettre id si il est autoincrémenté

$DB correspond à quoi, je n'ai pas vu de mysql_connect dans ton code, tu es sur que tu as la bonne portée ?

qu'est ce que tu as dans le php_error quand tu fais ça ?

Message cité 1 fois

recep

antac a écrit :

voici l'objet $DB qui se trouve dans "config_rdq.php" :

Code :

<?php
require('config.php');
try{
$DB = new PDO($dsnlocal,$loginlocal,$mdplocal, array(PDO::MYSQL_ATTR_INIT_COMMAND => 'SET NAMES UTF8'));
//$DB = new PDO($dsndirect,$logindirect,$mdpdirect, array(PDO::MYSQL_ATTR_INIT_COMMAND => 'SET NAMES UTF8'));
}
catch(PDOException $e){
echo 'Impossible de se connecter à la base de données... :'.$e->getMessage();
exit();
}
?>

dans mon bout de code plus haut au début (c'est vrai je n'ai pas affiché le début) où je fais un require de "config_rdq.hph" :

Code :

<?php
require('../outils/config_rdq.php');
if (isset($_POST['titre']) AND isset($_POST['date'])){
$titre = $DB->quote($_POST['titre']);
$date = $DB->quote($_POST['date']);
$contenu = $DB->quote($_POST['contenu']);
$id = $DB->quote($_POST['id']);
// On vérifie si c'est une modification de news ou non.
if ($_POST['id'] == 0){
// Ce n'est pas une modification, on crée une nouvelle entrée dans la table.
$nomOrigine = $_FILES['chemin']['name'];
$elementsChemin = pathinfo($nomOrigine);
$extensionFichier = $elementsChemin['extension'];
$extensionsAutorisees = array("jpeg", "JPEG", "jpg", "JPG", "gif", "GIF", "pdf", "PDF" );
if (!(in_array($extensionFichier, $extensionsAutorisees))) {
echo "Le fichier n'a pas l'extension attendue ou il n'y a pas de fichier attaché";
} else {
$repertoireDestination = dirname(__DIR__)."\\fichiers\\";
$nomDestination = "news".date("YmdHis" ).".".$extensionFichier;
if (move_uploaded_file($_FILES["chemin"]["tmp_name"], $repertoireDestination.$nomDestination)) {
} else {
echo "Le fichier n'a pas été uploadé (trop gros ?) ou ".
"Le déplacement du fichier temporaire a échoué".
" vérifiez l'existence du répertoire ".$repertoireDestination;
}
}
global $nomDestination;
$arrayChaine=explode(".",$nomDestination);
$c = $arrayChaine[0];
echo $chaine;
$DB->query("INSERT INTO rdq_news (id,titre,contenu,date,chemin) VALUES('','".$titre."','".$contenu."','".$date."','".$chaine."')" );
//$DB->query("INSERT INTO rdq_news (id,titre,contenu,date,chemin) VALUES('',$titre,$contenu,$date,'news20150128114011')" );
//header('Location: http://localhost/RDQ/admin/liste_news.php');
//exit();
}
else{
// On protège la variable "id" pour éviter une faille SQL.
$id = $DB->quote($_POST['id']);
// C'est une modification, on met juste à jour le titre et le contenu.
$DB->query("UPDATE rdq_news SET titre=$titre,date=$contenu. WHERE id='".$_POST['id']."'" );
}
}
// Vérification 2 : est-ce qu'on veut supprimer une news ?
// Si l'on demande de supprimer une news.
if (isset($_GET['supprimer_news'])){
// Alors on supprime la news correspondante.
// On protège la variable "supprimer_events" pour éviter une faille SQL.
$_GET['supprimer_news'] = addslashes($_GET['supprimer_news']);
$DB->query('DELETE FROM rdq_news WHERE id=\'' . $_GET['supprimer_news'] . '\'');
}
?>

Ma commande

Code :

$DB->query("INSERT INTO rdq_news (id,titre,contenu,date,chemin) VALUES('',$titre,$contenu,$date,$chaine)" );

fonctionne très bien lorsque je remplace $chaine par du texte manuellement comme ceci :

Code :

$DB->query("INSERT INTO rdq_news (id,titre,contenu,date,chemin) VALUES('',$titre,$contenu,$date,'news20150128114011')" );

la requête plante lorsque j'utilise $chaine, mais pourquoi ? Comme expliqué plus haut j'ai mis un try/catch autour de ma requête qui ne me retourne aucune erreur...

Message cité 1 fois

rufo

Pas me confondre avec Lycos!

Je parie que dans $titre, $contenu ou $chaine, y'a un caractère non échappé (apostrophe ou guillemet)
Sinon, c'est peut-être son champ $date qui n'est pas au format YYYY-mm-dd...

Edit :grilled by antac

Message cité 1 fois
Message édité par rufo le 29-01-2015 à 11:23:35

---------------
Astres, outil de help-desk GPL : http://sourceforge.net/projects/astres, ICARE, gestion de conf : http://sourceforge.net/projects/icare, Outil Planeta Calandreta : https://framalibre.org/content/planeta-calandreta

recep

rufo a écrit :

Je crois tu ass raison, je viens de tester cette commande et ça marche :

Code :

$DB->query("INSERT INTO rdq_news (id,titre,contenu,date,chemin) VALUES('','ttt','tt','2015-02-02','".$chaine."')" );

Message cité 1 fois

Publicité

recep

recep a écrit :

Je crois tu ass raison, je viens de tester cette commande et ça marche :

Code :

$DB->query("INSERT INTO rdq_news (id,titre,contenu,date,chemin) VALUES('','ttt','tt','2015-02-02','".$chaine."')" );

lorsque je fais un

Code :

echo $date;

j'ai =

Code :

'2015-01-29'

vous pensez que ça peut venir des simples apostrophes qui entourent la date ?

Message cité 1 fois

hinomura

recep a écrit :

lorsque je fais un

Code :

echo $date;

j'ai =

Code :

'2015-01-29'

vous pensez que ça peut venir des simples apostrophes qui entourent la date ?

Vu ton code, tu n'as pas à tout requoter, tu le fais là:

Code :

$titre = $DB->quote($_POST['titre']);
$date = $DB->quote($_POST['date']);
$contenu = $DB->quote($_POST['contenu']);
$id = $DB->quote($_POST['id']);

Il faut juste le faire pour $chaine aussi

recep

voilà, problème résolu en faisant tout simplement :

Code :

$DB->query("INSERT INTO rdq_news (id,titre,contenu,date,chemin) VALUES('',".$titre.",".$contenu.",".$date.",'".$chaine."')" );

Merci à tous!

antac

les apostrophes ne devraient pas être dans la variable date, c'est crade...

Message édité par antac le 29-01-2015 à 11:58:34

FlorentG

Unité de Masse

recep a écrit :

voici l'objet $DB qui se trouve dans "config_rdq.php" :

Code :

<?php
[...]
// Vérification 2 : est-ce qu'on veut supprimer une news ?
// Si l'on demande de supprimer une news.
if (isset($_GET['supprimer_news'])){
// Alors on supprime la news correspondante.
// On protège la variable "supprimer_events" pour éviter une faille SQL.
$_GET['supprimer_news'] = addslashes($_GET['supprimer_news']);
$DB->query('DELETE FROM rdq_news WHERE id=\'' . $_GET['supprimer_news'] . '\'');
}
?>

Là y'a une belle possibilité d'injection + CSRF [:johneh]

hinomura

Le pire c'est que dans le reste du code il y a du $db->quote()..

FlorentG

Unité de Masse

Ah merde j'avais pas vu le addslashes [:petrus75] Bon en tous cas c'est pas bien de faire ça en GET

antac

En plus faire du PDO pour arriver à ce type de truc... c'est franchement dommage mais bon...

FORUM HardWare.fr

Programmation

PHP

[RESOLU][PHP][MYSQL]requête Mysql (INSERT)

Sujets relatifs
[Mysql] Pertinence des résultats avec MATCH / AGAINST	Envoi données vers base mysql
[Mysql] DB Mediawiki ne contient plus que hitcounter et searchindex	Requête SQL jointure deux champs vers un même champ
Aide php mySql	[Mysql] redéfinition des id auto incrémentés après suppression
(SQL] AIde pour requète	Problème lien Access-MySQL
requête mysql : insert into where exists ?	[MySQL] Insert + sous requete
Plus de sujets relatifs à : [RESOLU][PHP][MYSQL]requête Mysql (INSERT)

Page générée en 0.158 secondes