Bonjour,

J'utilise addslashes pour protéger les variables $_POST des formulaires, qui seront ensuite entrées dans la base avec PDO.

Cependant j'ai lu que addslashes avait des failles sur les anciennes versions de php, et qu'il valait mieux utiliser mysql_real_escape_string()

mais lorsque je remplace par mysql_real_escape_string() j'ai une erreur :

Warning: mysql_real_escape_string() [function.mysql-real-escape-string]: Access denied for user 'SYSTEM'@'localhost' (using password: NO) in C:\wamp\www\site\page1.php on line 24

la ligne 24 :

$email =
mysql_real_escape_string(htmlspecialchars($_POST['
email']));

Est-ce bien nécessaire de remplacer addslashes par mysql_real_escape_string() ?

Merci

Si tu utilises les PDO, fait le jusqu'au bout : http://php.net/manual/fr/pdo.quote.php

j'utilise des requêtes sous cette forme c'est pas suffisant ?

$requete = $bdd->prepare('SELECT nom, prenom FROM comptes WHERE ident = ? AND pass = ?');
$requete->execute(array($id, $_SESSION['motdepasse']));

Ca l'est.

donc c'est bon, pas besoin de quote(), mais ... j'ai plus besoin non plus des addslaches alors ?

A ton avis ^^ ? addslaches n'est de toute façon pas bien utilisé dans ton cas. Pour peux que la config du serveur change pour les quotes et tu as un trou de sécurité.

Ok, bah je vais les enlever alors