Discussion :

[yann18]

Bonjour,

J'aimerais me servir en PHP de filter_var(), et notamment de son paramètre FILTER_SANITIZE_STRING avant d'écrire dans la base de donnée pour raison de sécurité. Celle-ci est encodée en UTF-8, et ses données sont retranscrites en brut.
J'ai un produit, affiché dans un formulaire HTML. Par exemple (et qui me pose souci) "pâtes d'amandes 50%". Une fois passé par 'FILTER_SANITIZE_STRING' et inscrit dans la base, celui-ci est codé (en ISO-8859-1 ? Je ne peux même pas l'écrire tel qu'il est dans la base, 'Développez.com' me le réécrit comme il faut et automatiquement ) Il semblerait que FILTER_SANITIZE_STRING n'aime pas les quotes. Et si je tente de rajouter en second paramètre 'FILTER_FLAG_NO_ENCODE_QUOTES', j'ai carrément une erreur sql qui s'affiche. Dans tous les cas, impossible d'afficher à nouveau ce produit dans la page. Pourquoi ? Comment puis-je remédier à cela ?
Pour toutes les autres chaînes, y compris avec des caractères spéciaux, je n'ai pas de problème.
merci,

[sabotage]

Tu as écris la meme chose ( a part la majuscules ) avant et apres le filter_var() et c'est également ce que j'obtiens.

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
echo filter_var("Pâtes d'amandes 50%",FILTER_SANITIZE_STRING);
//Pâtes d'amandes 50%

Par contre pour insérer correctement une chaine avec une apostrophe dans une requete il faut utiliser mysql_real_escape_string() (ou une requete préparée).

Sinon tu vois que ton apostrophe coupe la chaine en deux :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

INSERT INTO table (colonne) VALUES ('Pâtes d'amandes 50%');

[yann18]

Et ben, si ce n'est pas de la réactivité ça... Oui, je sais qu'il y avait écrit la même chose deux fois, mais le temps que je modifie mon message et j'avais déjà une réponse.
Je suis bien d'accord pour mysql-escape-string, mais à quel moment je pourrai utiliser filter_var() ?

[sabotage]

Ah oui effectivement il transforme le ' en & # 39 ;

Tu peux garder le FILTER_FLAG_NO_ENCODE_QUOTES et compléter avec mysql_real_escape_string() au moment de la requete.