PHP|Débutant :: Forums

Bonjour,
Je vais essayer d'être le plus clair possible. Mon formulaire utilise de l'ajax.
Voici un morceau du code

La fonction js

et le fichier scores.php où sont prises les valeurs

Ensuite en gros, si la personne prend l'equipe recevante vainqueur, ajax propose 30, 31 ou 32. Dans le cas contraire, c'est 03, 13 et 23 qui sont proposés.
La personne a donc 7 mini listes déroulantes dynamiques proposées pour ses pronostics.
Tout ceci fonctionne très bien si la personne pronostique pour les 7 listes déroulantes puisque ma fameuse boucle (dans mon 1er msg de ce topic) fait une série de 7 update consécutifs.
Seulement où ca cloche, c'est si elle laisse des vides. Par ex, elle pronostique seulement sur les rencontres 1  4 et 7. L'update à cause de cette fichue boucle se fait sur les champs 1 2 et 3.
A noter que mon problème est identique sur un INSERT en cas de pronostic initial.
C'est donc là que je cherche une solution pour faire un update multiple en "omettant" des champs.
J'espère être assez clair dans mes explications et ne pas avoir trop surchargé le message de code.

Plop,

En effet, c'est ce que je soupsonnais aussi.

Pour mieux faire comprendre le problème de la non indexation manuelle, il faut ajouter un petit élément : lors de la soumission d'un formulaire tel que celui la, quand un champs n'est pas rempli, il n'est pas créé dans les paramètres POST.

Autrement dit, si la personne ne pronostique que 3 rencontres, cela ne créé que trois éléments POST score[], donc l'indexation faite par php est 1, 2, 3

Il faut donc faire l'indexation manuellement comme le conseil MK.

Au passage, je serai partisan de modifier également la boucle de parcours du resultat, pourquoi parcourir 7 éléments quand il n'y en a que 3 par exemple

Ca donnerai quelque chose comme :

Idéalement, si le XX indiqué par MK est directement l'id du match, il peut meme y avoir un id_match="'.$c.'" directement.

ATTENTION

Ce code n'est pas du tout sécurisé, et est un bon candidat pour une injection SQL. En effet, seul le fait que le score ne soit pas vide est vérifié, par du tout ce qu'il peut contenir. Si quelqu'un force manuellement un score à '; DELETE FROM matable --  (par exemple), ben la table est vide (et encore, il a été gentil, il n'a pas fait un drop sur la base de données). Le nom de la table n'est pas si dur a obtenir, il suffit de faire un score qui provoque une erreur de requete, et elle s'affichera vu le code.

Il est donc très important, comme toujours, de s'assurer que les valeurs passées a une requete mysql soient un minimum filtrées, surtout quand elles viennent de l'utilisateur (POST, GET). Une petit expression rationnelle (régulière pour ceux qui préférent) pour vérifier que les variables utilisées pour la requete mysql ne sont que des chiffres serait une bonne idée dans ce cas.

@+