requete pdo

$req = $bdd->prepare('SELECT '.$_GET['langue_cible'].' FROM traduction WHERE '.$_GET['langue_depart'].' LIKE ?');
$req->execute(array('%'.$mot_chercher.'%'));

Bonsoir chers amis j’ai cette requete là et je me dis qu’il y a des risques d’injection sql mais je sais pas comment faire pour m’en premunir.

Pouvez-vous m’aider? Merci

Nb: $_GET['langue_cible'] et $_GET['langue_depart'] sont des colonnes de ma table traduction

Au-delà de ça, le fait que tu aies besoin de construire dynamiquement deux noms de colonnes dans une requête SQL pour un système de traduction laisse penser à un défaut de conception.

Tu pourrais nous détailler comment c’est supposé fonctionner ?

Ça fait plus d’un an que tu es sur le forum, tu n’as pas encore traité l’aspect sécurité sur ton apprentissage ? Quand tu écris un logiciel, poses-toi les questions suivante :

• Comment puis-je détourner ce programme ?
• Quelle marge de manœuvre je laisse aux utilisateurs ?

Tu devrais être capable de voir toi même le risque dans le code que tu as mis. Sinon, je te conseille vraiment de te documenter à ce sujet ou relire tes cours.

Tu as notamment une partie sur la sécurité dans la doc PHP, intéresse-toi principalement au chapitre Données transmises par les internautes et Sécurité des bases de données.

Coucou

Tu peux trouver sur le site tout ce dont tu as besoin pour t’en sortir.
Par exemple, c’est deux tutoriels :

• Injections SQL - La théorie
• Injections SQL - La pratique

Il y a également d’autres tutoriels sur la sécurité. Au sujet des injections SQL tu trouveras par exemple celui-ci :

Ne pas confondre faille par injection SQL et XSS.

Bonne lecture !

Je suis au courant de toutes ces failles mais dans mon cas je savais pas comment faire. Spacefox ma base contient des tables qui sont les langues et pour chaque ligne les mots et leurs traductions dans ces langues la.

Merci.

Merci aussi Quentin je crois que c’est la solution. Je récupère les langues dans la base et je m’assure que les deux langues de l’utilisateur existe avant de faire la requête.

• première requête permettant de voir si la langue de départ existe
• si la langue existe deuxième requête pour voir si la langue cible existe
• si oui on peut faire la requête.
• si non on ne fait rien.

Dans $mot_chercher, il faudrait aussi échapper les %/\_ à moins de vraiment vouloir laisser l’utilisateur utiliser des masques mais dans ce cas-là tu n’ajouterais pas les %.

Sinon, un identificateur MySQL, ça s’échappe aussi :

$colonne = '`' . str_replace('`', '``', $_GET['langue_cible']) . '`';
$req = $bdd->prepare('SELECT ' . $colonne . ' FROM traduction WHERE ' . $colonne . ' LIKE ?');
$req->execute(array('%' . addcslashes($mot_chercher, '%_') . '%'));

Tout en sachant que bien que tu n’aies pas d’injection SQL là-dessus, avec une colonne qui n’existe pas, la requête planterait (= ce serait à gérer, a minima avec le mode d’erreur de PDO basé sur les exceptions)

PS : il y a visiblement un bug sur le markdown avec `_`

Déjà, qu’est-ce que tu essaies de faire ?

1. De la traduction d’interface utilisateur ?
2. De la traduction de vocabulaire ?
3. Autre chose ?

Dans le cas 1 il y a sans doute des standards qui existent et que tu peux utiliser.

Dans le second cas, tu dois bien partir sur une solution « maison », mais ta structure de table me semble étrange. Que se passe-t-il quand tu veux ajouter une langue ? Tu dois ajouter une colonne à ta table ?

SpaceFox si je dois ajouter une nouvelle langue j’ajoute une nouvelle colonne a ma table.

Merci

Et tu as une réponse à ma première question ?

C’est le 2