[RESOLU] - Formulaire de recherche sur le site

Bonjour,

Voici MON premier message sur ce forum et donc VOTRE premier défis (hé hé) ...

J'ai un formulaire de recherche FORM_RECHERCHE.PHP:

<form method="POST" action="../Cherche.php">

Entrez un mot clé:<br>

<input type="text" name="Mot" size="15">

<input type="submit" value="Rechercher" alt="Lancer la recherche!">

</form>

Qui transmets la variable à CHERCHE.PHP:

<?php
session_start();?>

<?php include("../Connexion_bdd.php"); ?>
<?php
// ..................... mon code ici ................

//Puis on boucle le tout pour tout afficher
$i=1;
while($row = mysql_fetch_array($result)) 
{ 
    echo '<div id="Contenu'.$i.'"><a href="../../Fonctions/Affichage_contenu.php?titre_article=
'.$row['up_titre_article'].'&amp;up_id_recherche='.$row['up_id'].'" target="_blank">'.$row['up_titre_article'].'<a></div>';
	$i++ ;
}
            mysql_free_result($result);
}
}

// on ferme la base
mysql_close();

?>

Et pour finir la page d'affichage du contenu de l'article rechercher AFFICHAGE_CONTENU.PHP:

<?php include("../Fonctions/Connexion_bdd.php");?>
<?php
// On fait la requête pour afficher la liste des news concernant la rubrique "concernée"
$_GET['titre_article'] = $row['up_titre_article'];
$_GET['up_id_recherche'] = $row['up_id'];

$article = $_GET['titre_article'];
$id = $_GET['up_id_recherche'];

$requete_contenu = mysql_query("SELECT up_description FROM upload_fichier ORDER BY up_id DESC LIMIT 0, 10");

//Puis on boucle le tout pour tout afficher
while($row = mysql_fetch_array($requete_contenu)) 
{
    echo '<div id="News">'.$row['up_description'].'<a></div>'; 
}

// on ferme la base
mysql_close();
?>

Je n'arrive pas à lui faire afficher uniquement le contenu de l'article selectionné.

Que faut-il changer dans cette ligne là ?

$requete_contenu = mysql_query("SELECT up_description FROM upload_fichier ORDER BY up_id DESC LIMIT 0, 10");

Je pensais rajouter un truc du genre:

$requete_contenu = mysql_query("SELECT up_description FROM upload_fichier WHERE up_id = '.$id.'");

En me servant de mes déclarations de variables précédentes mais rien n'y fait:

$_GET['titre_article'] = $row['up_titre_article'];
$_GET['up_id_recherche'] = $row['up_id'];

$article = $_GET['titre_article'];
$id = $_GET['up_id_recherche']; 

Ca m'affiche tjs une page blanche ... j'ai essayé plusieurs écritures du code WHERE up_id = mais ça ne fonctionne jamais ...

Sauriez-vous d'ou cela peut venir ?
Modifié par Jackisback (23 Oct 2008 - 10:21)

Juste une question comme ça, en passant...

<a href="../../Fonctions/Affichage_contenu.php?voir_contenu='.[b]$row['up_id'][/b].'" target="_blank">

Comment veux tu récupérer la valeur de $row['up_id'] s'il n'est pas dans la requête?

$requete = "SELECT distinct
    inscr_pseudo,
    up_titre_article,
    up_rubrique,              [b]<== Il est où "up_id" ??[/b]
    up_description,
    up_lien
FROM upload_fichier
WHERE ...

Thomas D. a écrit :
Re.

Qu'est-ce que tu essaies de faire exactement avec les lignes suivantes ?

// On fait la requête pour afficher la liste des news concernant la rubrique "concernée"
$_GET['titre_article'] = $row['up_titre_article'];
$_GET['up_id_recherche'] = $row['up_id'];

J'allais poser la même question. J'étais en train de me demander ce qu'il avait mis comme requête avant

Sinon Jacki, travaille avec:

error_reporting(E_ALL|E_STRICT);

(place cette ligne dès le début de ton fichier php, de bdd par exemple vu qu'il est en haut de tes pages, mais enlève -ou modifie- le plus tard)
Ca te permettra de débusquer ce genre d'erreur stupide, et tu éviteras de laisser passer certains bug que l'on aurait pas vu.

J'ai ajouté ce bout de code mais rien ne change ....

J'ai regardé la signification ici:

http://fr.php.net/manual/fr/errorfunc.constants.php#errorfunc.constants.errorlevels.e-all

Le resultat affiché est tjs le même

Cela ne corrige pas le problème je sais, mais au moins ça en prévient d'autre.
Exemple:

// On fait la requête pour afficher la liste des news concernant la rubrique "concernée"
$_GET['titre_article'] = $row['up_titre_article'];
$_GET['up_id_recherche'] = $row['up_id'];

Dans le code, vu que $row n'existait pas (il n'y a pas de requête avant, tu l'as dit) il t'aurait affiché une erreur.


Qu'est ce qui ne va pas exactement avec ton script maintenant?
Le fait qu'il n'y ait que $_GET['titre_article'] qui soit transmis?

Ah ouais nickel j'ai essayé de remettre les deux variables et ça me met un message d'erreur ...

Je vais essayé sur mes autres pages ...

Et bien en fait ce qui ne va pas maintenant c'est que je n'arrive pas à lui faire afficher le contenu de la news cliquée ...

J'ai modifié un peu le code en ajoutant var_dump, le voici:

<?php include("../Fonctions/Connexion_bdd.php");?>
<?php
error_reporting(E_ALL);

// On fait la requête pour afficher la liste des news concernant la rubrique "concernée"
$article = $_GET['titre_article'];
$id = $_GET['up_id_recherche'];

echo $id;
echo $article;

$requete_contenu = "SELECT up_description FROM upload_fichier WHERE up_id = '.$id.' AND up_titre_article = '.$article.'";
var_dump($requete_contenu);  # debug

$result = mysql_query($requete_contenu) or die(mysql_error());  # debug;

//Puis on boucle le tout pour tout afficher
while($row = mysql_fetch_row($result))
{
var_dump($row);  # debug
	echo '<div id="News">'.$row['up_description'].'<a></div>';
}

// on ferme la base
mysql_close();
?>

Et il m'affiche ceci:

80article genial 21111string(110) "SELECT up_description FROM upload_fichier WHERE up_id = '.80.' AND up_titre_article = '.article genial 21111.'" 

80 -> ID de l'article
article genial 21111 -> Titre de l'article
string(110) "SELECT up_description FROM upload_fichier WHERE up_id = '.80.' AND up_titre_article = '.article genial 21111.'" -> Bah la requete (comme tu l'aurais compris)

Et je ne vois pas ou ça coince ...

Je lui dis tu me selectionnes up_description dans ma BDD ou l'id = x et le titre = y et il ne m'affiche aucun contenu ..

Et OUI il y a un contenu dans mon article en BDD, j'ai pensé à regarder ....

Je donne une première solution, ensuite je t'explique:

Remplace:

$requete_contenu = "SELECT up_description FROM upload_fichier WHERE up_id = '.$id.' AND up_titre_article = '.$article.'";

par

$requete_contenu = "SELECT up_description FROM upload_fichier WHERE up_id = '$id' AND up_titre_article = '$article'";

Ici, tu mes dans ta variable, une chaîne de caractère entre double quote ( "..." ) donc les variable qu'il y a dedans sont analysées.
Avant de lire la suite de ma réponse, je t'invite à lire ceci








C'est bon?










Tu as lu?







Revoila le lien au cas où






Bon, tant pis...




Maintenant, on va coder un peu plus proprement.
Ce que j'ai dit de remplacer tout à l'heure, tu le remplace par ça:

$requete_contenu = sprintf("SELECT up_description FROM upload_fichier WHERE up_id = '%i' AND up_titre_article = '%s'", $id, mysql_real_escape_string($article));

Ceci pour prévenir toute attaque par injection

A la place de "mysql_real_escape_string" tu pourrais utiliser cette fonction, trouvée sur le site de php:

function mysql_prep($value){
    $magic_quotes_active = get_magic_quotes_gpc();
    $new_enough_php = function_exists("mysql_real_escape_string");
    // i.e PHP >= v4.3.0
    if($new_enough_php){
    //undo any magic quote effects so mysql_real_escape_string can do the work
    if($magic_quotes_active){
        $value = stripslashes($value);
    }
    $value = mysql_real_escape_string($value);
    }else{ // before PHP v4.3.0
        // if magic quotes aren't already on this add slashes manually
        if(!$magic_quotes_active){
            $value = addslashes($value);
        } //if magic quotes are avtive, then the slashes already exist
    }
    return $value;
}

N'oublie pas de placer cette fonction dans un de tes fichiers header, qu'elle soit disponible partout.




(je sais pas pourquoi, mais je vais devoir réexpliquer là non? )

Autant pour moi, ce n'était pas %i mais %d (qu'est ce qui m'est passé par la tête -_-)

Donc, ce n'est pas:

$requete_contenu = sprintf("SELECT up_description FROM upload_fichier WHERE up_id = '%i' AND up_titre_article = '%s'", $id, mysql_real_escape_string($article));

Mais:

$requete_contenu = sprintf("SELECT up_description FROM upload_fichier WHERE up_id = '%d' AND up_titre_article = '%s'", $id, mysql_real_escape_string($article));

Pour ce qui est de la fonction mysql_prep que je t'ai filée dans mon post plus haut, tu la place dans connexion_bdd.php par exemple.
Ensuite, au lieu d'utiliser "mysql_real_escape_string" (dans le code que je viens de te filer ) utilise "mysql_prep".

Déjà, va jusque là voir si ça marche.
Je te préviens que tu auras peut-être des " \\\' " qui vont apparaitre dans tes champs, mais c'est très facilement règlable

Bonjour,

J'ai fais la modif que tu m'as conseillée plus haut et ça fonctionne nickel ...

Par contre je n'ai pas regardé pour l'histoire des "mysql_prep".

J'ai quand meme un soucis, quand je fais une recherche et que je tombe sur un article qui à pour titre "L\'ORGANISATION" (par ex) et bien il m'affiche une page vierge alors que pour les autres il m'affiche le contenu.

Tu avais raison j'ai des \\\ .

N'y aurait-il pas un rapport avec des addslashes ou un truc comme ça ? certainement une fonction a ajouter qui supprime les slashes ou qui formate le texte avant de l'afficher ? c'est ça non ???

-----------------

EDIT:

Il parait q'il faut eviter les addslashes ? est-ce vrai ...

J'ai lu de regarder plutot ceci:

http://php.developpez.com/faq/?page=securite#securite-injection

et non pas :

http://fr.php.net/manual/fr/function.addslashes.php

Qu'en penses-tu ?

---------------------

RE-EDIT:

Tu me conseilles de mettre ton code avec le "mysql_prep" dans connexion_bdd.php car il est en début de page mais dans toute mes autres pages il n'est pas en début de code ... est-ce important ? car j'ai au moins le session_start et ensuite le DOCTYPE et après un j'ai connexion_bdd.php ...
Modifié par Jackisback (22 Oct 2008 - 08:11)