Ma requête php s'affiche lors du résultat help!

[webac]

bonjour voici mon code :

Code: Tout sélectionner

$id  = $_GET ["serie"] ;
  $mat = $_GET ["materiel"];
 
  $sql = "DELETE
          FROM materiel
       WHERE serie='$id'";
  echo $sql ;      
    $requete = mysql_query($sql, $cnx)  ;
 
 
  if($requete)
  {
    echo"<font color='white'><B>$mat supprimé(e)</font>";
  } 
  else
  {
    echo("<font color='white'><B>La suppression à échouée</font>") ;
  }
  include ('ajoutmateriel.php');
?>

lors de l'affichage du résultat j'obtiens ceci :

Code: Tout sélectionner

DELETE FROM materiel WHERE serie='P405857462'MSI supprimé(e)


Je ne souhaite afficher que MSI supprimé(e)

merci de m'éclairer

[e-kiwi]

echo $sql ; <= traduction : affiche moi la requete

[biscuit]

salut

tu as un echo $sql qui traîne juste avant $requete = mysql_query()


-- EDIT --
Oups, grillé par un cyber kiwi.. c'est alimentation-connection !

[webac]

autant pour moi j'ai oublié de l'enlever merci beaucoup pour le coup de pouce

[e-kiwi]

>> autant pour moi
au temps pour moi

[jeroen]

>> autant pour moi
au temps pour moi

un grand classique cette remarque maisles deux formulations sont permises

[e-kiwi]

permis mais pas justifié
http://www.academie-francaise.fr/langue ... l#au_temps

[ltressens]

Je rebondi sur cet exemple :

Code: Tout sélectionner

$id  = $_GET ["serie"] ;
$sql = "DELETE FROM materiel WHERE serie='$id'";


pour parler un peu de blindage de vos scripts (pas seulement toi webac).

Si l'utilisateur appelle la page en donnant a serie la valeur :

Code: Tout sélectionner

toto' OR '1'='1


Voici la requete que vous exécuterez :

Code: Tout sélectionner

DELETE FROM materiel WHERE serie='toto' OR '1'='1'


Donc il flinguera toute votre base.

Cela s'appelle de l'injection SQL.

Evidemment cela sert a flinguer une base, se logguer sans connaitre les passwords, etc...

Donc conseils :
utiliser mysql_escape_string() ou mysql_real_escape_string() sur les variables récupérées de $_GET ou $_POST (pensez a enlever les slashes aussi avec stripslashes()) :

Code: Tout sélectionner

$id = mysql_escape_string(stripslashes($_GET['serie']));


Il y a des centaines d'autres conseils a respecter, google est votre ami : http://www.google.fr/search?sourceid=na ... on+sql+php