Bonsoir,

Dans ce code : https://wall.deblan.org/x1c96/php/1/

Malgré mes recherches je me pose toujours certaines questions.
J'aimerais savoir comment marche la partie comprise entre les lignes 60 et 75.

Je sais que j'insère dans la base de donnée les informations de mon formulaire mais ce que je ne comprends pas :

- Pourquoi les "?" à la place de ":pseudo" ou "$pseudo" ?
- On m'a dit que j'ai réalisé une requête sécurisé, comment puis-je le constater ?
- Quelle ligne dois-je enlever pour que cette requête ne soit plus sécurisé ?
- Je sais qu'il faut mettre autant de "s" qu'il y a de variable (i pour entier, d pour decimal et s pour chaine de caractères) mais à part ça, quel rôle ses "s" joues t-il ?

J'ai aussi une erreur dans la vérification du pseudo, si il existe dans la bdd ou non :

L'erreur, c'est soit je vérifie si le pseudo existe ou soit je vérifie si l'adresse mail existe, si j'insère les deux tâches en même temps j'ai des erreurs :

Pour le pseudo déjà existant ça m'affiche ces erreurs mais l'inscription ne s’exécute pas :

Pour le mail déjà existant tout est correct :

Merci pour vos réponses.

J'ai pas bien compris l'histoire des "?" il suffit que tu remplaces par tes valeurs, par tes variables

Bah apparemment ça sécurise la requête ...

Oui mais j'ai pas compris ce qui te posait problème a propos de ces "?"

Comment le fait de placer des "?" sécurise la requête ? Qu'est ce qui rend la requête sécurisé dans ce bout de code ?

C'est bon avec internet j'ai compris que les ? permettais de séparer la requête elle-même et les valeurs à manipuler.

Une dernière chose, comment je pourrais tester la sécurité ?
C'est à dire enlever les lignes qui permette de sécuriser la requête pour pouvoir réaliser une injection Mysql..

Comment je réalise cette injection ? J'ai vue sur le net que remplacer la fin de l'url par php?id=1' (avec l'apostrophe) permet d'en faire une mais quand je la réalise, rien ne se produit.

Salut !

Alors :
- En faite les points d'interrogation à l'intérieur de ta requête SQL sont ce qu'on appelle des "marqueurs".
L'extension mysqli va s'occuper toute seule de remplacer chaque marqueur par la bonne valeur qui sont les unes à la suite de l'autre à la ligne 69 avec la fonction mysqli_stmt_bind_param() .

- Elle est sécurisée parce que tu as utilisé se qu'on appelle une requête préparée. Grosso modo via ces fonctions php se charge de protéger ta requête contre tout les caractères qui ne devraient pas s'y trouver et qui sont charger de faire planter ta requête ou de retourner d'autres valeurs demandées (injection SQL).

- Faudrait que tu remplaces toute la partie de la requête préparée par une requête simple avec mysqli_query. (lignes 66 à 72)

- Ce sont les types de tes valeurs. Ca permet ainsi de dire à mysqli "Attention, pour cette valeur là j'attend un entier !" et donc d'appliquer la sécurité qui correspond.

Merci beaucoup pour tes détails 3615_mylife !