From e9bd3336515f69eced3f8b975c2393463919ba1e Mon Sep 17 00:00:00 2001 From: Cerdic Date: Fri, 1 Apr 2011 13:35:35 +0000 Subject: [PATCH] revert de r17608 et r17609 : Il ne faut pas utiliser intval() dans une requete SQL comme le disait le message de r13858 MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit C'est a sql_quote de se debrouiller pour deviner si il doit ecrire '' ou 0 quand il reçoit un null si jamais son SQL ne tolere pas l'un a la place de l'autre. --- ecrire/action/editer_article.php | 2 +- ecrire/action/editer_objet.php | 2 +- ecrire/action/instituer_article.php | 2 +- ecrire/exec/articles_tous.php | 2 +- ecrire/inc/article_select.php | 4 ++-- ecrire/inc/autoriser.php | 6 +++--- ecrire/inc/lien.php | 2 +- ecrire/inc/plonger.php | 6 +++--- ecrire/maj/svn10000.php | 2 +- 9 files changed, 14 insertions(+), 14 deletions(-) diff --git a/ecrire/action/editer_article.php b/ecrire/action/editer_article.php index 9e1831413b..61eaff8587 100644 --- a/ecrire/action/editer_article.php +++ b/ecrire/action/editer_article.php @@ -271,7 +271,7 @@ function editer_article_heritage($id_article, $id_rubrique, $statut, $champs, $c // changer aussi son secteur et sa langue (si heritee) if (isset($champs['id_rubrique'])) { - $row_rub = sql_fetsel("id_secteur, lang", "spip_rubriques", "id_rubrique=".intval($champs['id_rubrique'])); + $row_rub = sql_fetsel("id_secteur, lang", "spip_rubriques", "id_rubrique=".sql_quote($champs['id_rubrique'])); $langue = $row_rub['lang']; $champs['id_secteur'] = $row_rub['id_secteur']; diff --git a/ecrire/action/editer_objet.php b/ecrire/action/editer_objet.php index 851639a231..e6d7d16bb7 100644 --- a/ecrire/action/editer_objet.php +++ b/ecrire/action/editer_objet.php @@ -362,7 +362,7 @@ function editer_objet_heritage($objet, $id, $id_rubrique, $statut, $champs, $con // changer aussi son secteur et sa langue (si heritee) if (isset($champs['id_rubrique'])) { - $row_rub = sql_fetsel("id_secteur, lang", "spip_rubriques", "id_rubrique=".intval($champs['id_rubrique'])); + $row_rub = sql_fetsel("id_secteur, lang", "spip_rubriques", "id_rubrique=".sql_quote($champs['id_rubrique'])); $langue = $row_rub['lang']; if (isset($desc['field']['id_secteur'])) diff --git a/ecrire/action/instituer_article.php b/ecrire/action/instituer_article.php index f72e8ad03b..190f32d504 100644 --- a/ecrire/action/instituer_article.php +++ b/ecrire/action/instituer_article.php @@ -30,7 +30,7 @@ function action_instituer_article_dist($arg=null) { // si on passe un statut_old, le controler // http://trac.rezo.net/trac/spip/ticket/1932 if ($old = _request('statut_old') - AND $s = sql_fetsel('statut', 'spip_articles', 'id_article='.intval($id_article)) + AND $s = sql_fetsel('statut', 'spip_articles', 'id_article='.sql_quote($id_article)) AND $s['statut'] != $old) return; diff --git a/ecrire/exec/articles_tous.php b/ecrire/exec/articles_tous.php index 0a55fbb8f0..306c447f65 100644 --- a/ecrire/exec/articles_tous.php +++ b/ecrire/exec/articles_tous.php @@ -114,7 +114,7 @@ function texte_articles_tous(&$sel_lang, $flag_trad, $aff_art,$spip_lang_dir){ if (autoriser('publierdans', 'rubrique', 0)) $result = sql_select("id_article, titre, statut, id_rubrique, lang, id_trad, date_modif", "spip_articles", "", "", "date DESC"); else - $result = sql_select("A.id_article, A.titre, A.statut, A.id_rubrique, A.lang, A.id_trad, A.date_modif", "spip_articles AS A LEFT JOIN spip_auteurs_liens AS L ON (L.objet='article' AND A.id_article=L.id_objet)", "A.statut = 'publie' OR A.statut = 'prop' OR (A.statut = 'prepa' AND L.id_auteur=" . intval($GLOBALS['visiteur_session']['id_auteur']) . ")", "id_article", "A.date DESC"); + $result = sql_select("A.id_article, A.titre, A.statut, A.id_rubrique, A.lang, A.id_trad, A.date_modif", "spip_articles AS A LEFT JOIN spip_auteurs_liens AS L ON (L.objet='article' AND A.id_article=L.id_objet)", "A.statut = 'publie' OR A.statut = 'prop' OR (A.statut = 'prepa' AND L.id_auteur=" . sql_quote($GLOBALS['visiteur_session']['id_auteur']) . ")", "id_article", "A.date DESC"); while($row = sql_fetch($result)) { $id_rubrique=$row['id_rubrique']; diff --git a/ecrire/inc/article_select.php b/ecrire/inc/article_select.php index 6d08fde10d..07d83d9516 100644 --- a/ecrire/inc/article_select.php +++ b/ecrire/inc/article_select.php @@ -60,7 +60,7 @@ function inc_article_select_dist($id_article, $id_rubrique=0, $lier_trad=0) { // recuperer le secteur, pour affecter les bons champs extras if (!$row['id_secteur']) { - $row_rub = sql_getfetsel("id_secteur", "spip_rubriques", "id_rubrique=" . intval($id_rubrique)); + $row_rub = sql_getfetsel("id_secteur", "spip_rubriques", "id_rubrique=" . sql_quote($id_rubrique)); $row['id_secteur'] = $row_rub; } @@ -74,7 +74,7 @@ function inc_article_select_dist($id_article, $id_rubrique=0, $lier_trad=0) { // http://doc.spip.org/@article_select_trad function article_select_trad($lier_trad, $id_rubrique=0) { // Recuperer les donnees de l'article original - $row = sql_fetsel("*", "spip_articles", "id_article=".intval($lier_trad)); + $row = sql_fetsel("*", "spip_articles", "id_article=$lier_trad"); if ($row) { $row['titre'] = filtrer_entites(_T('info_nouvelle_traduction')).' '.$row["titre"]; diff --git a/ecrire/inc/autoriser.php b/ecrire/inc/autoriser.php index e6c2121e4b..a1dcf5d093 100644 --- a/ecrire/inc/autoriser.php +++ b/ecrire/inc/autoriser.php @@ -273,7 +273,7 @@ function autoriser_rubrique_supprimer_dist($faire, $type, $id, $qui, $opt) { // = ou statut 'prop,prepa' et $qui est auteur // http://doc.spip.org/@autoriser_article_modifier_dist function autoriser_article_modifier_dist($faire, $type, $id, $qui, $opt) { - $r = sql_fetsel("id_rubrique,statut", "spip_articles", "id_article=".intval($id)); + $r = sql_fetsel("id_rubrique,statut", "spip_articles", "id_article=".sql_quote($id)); include_spip('inc/auth'); // pour auteurs_article si espace public @@ -381,7 +381,7 @@ function autoriser_auteur_previsualiser_dist($faire, $type, $id, $qui, $opt) { if ($qui['statut'] == '0minirezo' AND !$qui['restreint']) return true; // "Voir en ligne" si l'auteur a un article publie - $n = sql_fetsel('A.id_article', 'spip_auteurs_liens AS L LEFT JOIN spip_articles AS A ON (L.objet=\'article\' AND L.id_objet=A.id_article)', "A.statut='publie' AND L.id_auteur=".intval($id)); + $n = sql_fetsel('A.id_article', 'spip_auteurs_liens AS L LEFT JOIN spip_articles AS A ON (L.objet=\'article\' AND L.id_objet=A.id_article)', "A.statut='publie' AND L.id_auteur=".sql_quote($id)); return $n ? true : false; } @@ -539,7 +539,7 @@ function autoriser_iconifier_dist($faire,$quoi,$id,$qui,$opts){ if (!$droit AND ($row['statut'] == 'prepa' OR $row['statut'] == 'prop' OR $row['statut'] == 'poubelle')) { $jointure = table_jointure('auteur', 'article'); - if ($droit = sql_fetsel("id_auteur", "spip_$jointure", "id_article=".intval($id) . " AND id_auteur=".intval($connect_id_auteur))) + if ($droit = sql_fetsel("id_auteur", "spip_$jointure", "id_article=".sql_quote($id) . " AND id_auteur=$connect_id_auteur")) $droit = true; } diff --git a/ecrire/inc/lien.php b/ecrire/inc/lien.php index ca0be3e62c..1175d6be31 100644 --- a/ecrire/inc/lien.php +++ b/ecrire/inc/lien.php @@ -174,7 +174,7 @@ function traiter_lien_implicite ($ref, $texte='', $pour='url', $connect='') // dans le cas d'un lien vers un doc, ajouter le type='mime/type' if ($type == 'document' AND $mime = sql_getfetsel('mime_type', 'spip_types_documents', - "extension IN (SELECT extension FROM spip_documents where id_document =".intval($id).")", + "extension IN (SELECT extension FROM spip_documents where id_document =".sql_quote($id).")", '','','','',$connect) ) $r['mime'] = $mime; diff --git a/ecrire/inc/plonger.php b/ecrire/inc/plonger.php index b251b3c4a6..1faa441d4a 100644 --- a/ecrire/inc/plonger.php +++ b/ecrire/inc/plonger.php @@ -31,9 +31,9 @@ function inc_plonger_dist($id_rubrique, $idom="", $list=array(), $col = 1, $excl $res = sql_select("rub1.id_rubrique, rub1.titre, rub1.id_parent, rub1.lang, rub1.langue_choisie, rub2.id_rubrique AS id_enfant", "spip_rubriques AS rub1 LEFT JOIN spip_rubriques AS rub2 ON (rub1.id_rubrique = rub2.id_parent)", - "rub1.id_parent = ".intval($id_rubrique)." - AND rub1.id_rubrique!=".intval($exclu)." - AND (rub2.id_rubrique IS NULL OR rub2.id_rubrique!=".intval($exclu).")", "", "0+rub1.titre,rub1.titre"); + "rub1.id_parent = ".sql_quote($id_rubrique)." + AND rub1.id_rubrique!=".sql_quote($exclu)." + AND (rub2.id_rubrique IS NULL OR rub2.id_rubrique!=".sql_quote($exclu).")", "", "0+rub1.titre,rub1.titre"); while ($row = sql_fetch($res)) { if (autoriser('voir','rubrique',$row['id_rubrique'])){ diff --git a/ecrire/maj/svn10000.php b/ecrire/maj/svn10000.php index 2dab377c9c..d56d423439 100644 --- a/ecrire/maj/svn10000.php +++ b/ecrire/maj/svn10000.php @@ -76,7 +76,7 @@ function maj_11431 () { // mise a jour de ces mots la if ($res){ while ($r = sql_fetch($res)){ - sql_updateq('spip_mots', array('type'=>$r['type']), 'id_mot='.intval($r['id_mot'])); + sql_updateq('spip_mots', array('type'=>$r['type']), 'id_mot='.sql_quote($r['id_mot'])); } } }