Zend FR

shiryu · 10-07-2009 00:33:03

J'ai un souci avec le composant Zend_Db_Table_Row. A partir d'un formulaire, je récupère des données pour les insérer dans la base de données

Code:

// cree une instance de Zend_Db_Table
$motTable = new ORM_VocabulaireMots();

// prepare un nouvel enregistrement dans la base de donnees
$mot = $motTable ->createRow();

// recupere les infos du formulaire et on
// les insere dans l'instance de Zend_Db_Table_Row
$mot->mot = $this->getRequest()->getParam('mot');

// on enregistre l'information dans la base de donnees
$mot->save();

$this->getRequest()->getParam('mot') contient les informations du mot postées par l'utilisateur. Le souci se produit quand cette information contient des " et des '. Je pensais que la méthode save() savait les gérer.

Si les informations sont par exemple "L'heure", la méthode enregistre L'\heure dans ma base de données si le magic quotes de PHP est activé et L'heure s'il est désactivé (donc dans ce dernier cas c'est ok).

Si j'utilise " dans l'information, alors ça pose plus de problèmes. "L'heure "H"" par exemple enregistrera L\'heure \"H\" dans ma base de données avec les magic quotes activés et L'heure (sans "H") sans les magic quotes.

Ma question : comment faire fonctionner SAVE() pour qu'il enregistre les ' et les " correctement sans les \ ? J'ai vu que Zend_Db possède les méthode Quote et QuoteInto, mais cela ne sert que pour la création des requêtes SQL, pas sur une donnée extérieure. Or impossible d'agir sur la requête de save() directement.

J'ai passé des heures à tester diverses solutions et ai recherché les infos sur internet, mais je n'ai trouvé aucune solution.

Dernière modification par shiryu (11-07-2009 01:18:44)

vg33 · 10-07-2009 09:58:09

As-tu essayé :

Code:

$mot->mot = $motTable->quote($this->getRequest()->getParam('mot'));

shiryu · 10-07-2009 11:40:08

Oui j'avais déjà essayé. "L'heure "H" par exemple me donne cela exactement : 'L\'heure \'. Il ajoute les quotes simples nécessaires pour les requêtes SQL, ce qui est parfait... mais uniquement si on travaille directement sur une requête SQL. C'est un peu ce que j'avais écrit dans mon premier post.

Voici l'expression exacte que j'ai utilisée (car quote n'est pas directement accessible de Zend_Db_Table)

Code:

$contenu = $this->getRequest()->getParam('mot');
$motTable->getDefaultAdapter()->quote($contenu);

Dernière modification par shiryu (10-07-2009 11:47:29)

shiryu · 11-07-2009 01:16:33

J'ai trouvé d'où venait le problème. Je me suis rendu compte que la méthode save() enregistrait correctement les données dans la base de données (qu'il y ait des ', " ou autre caractères bizarres), mais que c'était à l'affichage que cela ne fonctionnait plus.

Dans la vue, pour afficher correctement les données, il est important d'utiliser $this->escape($variable) pour convertir les caractères qui posent problème en entités HTML. C'est aussi très important pour la sécurité de l'application car ça permet d'empêcher un texte malveillant entré par un pirate d'attaquer l'application.

vg33 · 11-07-2009 09:22:07

Il faut faire systématiquement $this->escape() pour afficher toutes données utilisateur. C'est en effet essentiel en sécurité, notamment pour éviter les attaques CSS.

shiryu · 11-07-2009 13:46:31

Exactement. Je voulais aussi attirer l'attention sur le fait que "toutes données utilisateurs" ne veut pas forcément dire toutes les variables de la vue.

J'ai par exemple des Zend_Form_Element que j'envoie à la vue pour afficher mes éléments où je veux sans avoir à gérer les decorators très complexes du Zend_Form. Dans ce cas, si on fait un $this->escape sur la variable contenant le Zend_Form_Element, il y aura le code html affiché à l'écran.

vg33 · 11-07-2009 13:59:47

Ce n'est pas le Zend_Form_Element que tu dois échapper, mais sa valeur.

shiryu · 12-07-2009 00:30:11

oui je sais bien. Cela est fait dans le controlleur, pas dans la vue.

Zend FR

#1 10-07-2009 00:33:03

[Résolu][Zend_Db][1.8] Méthode save() et quotes

Code:

#2 10-07-2009 09:58:09

Re: [Résolu][Zend_Db][1.8] Méthode save() et quotes

Code:

#3 10-07-2009 11:40:08

Re: [Résolu][Zend_Db][1.8] Méthode save() et quotes

Code:

#4 11-07-2009 01:16:33

Re: [Résolu][Zend_Db][1.8] Méthode save() et quotes

#5 11-07-2009 09:22:07

Re: [Résolu][Zend_Db][1.8] Méthode save() et quotes

#6 11-07-2009 13:46:31

Re: [Résolu][Zend_Db][1.8] Méthode save() et quotes

#7 11-07-2009 13:59:47

Re: [Résolu][Zend_Db][1.8] Méthode save() et quotes

#8 12-07-2009 00:30:11

Re: [Résolu][Zend_Db][1.8] Méthode save() et quotes

Pied de page des forums