Guillemets en MySQL : simples, doubles et backticks – guide complet

Introduction : pourquoi les guillemets en MySQL rendent-ils fou ?

Si vous avez déjà écrit des requêtes SQL en PHP, vous avez sûrement été confronté à la confusion : quand utiliser les guillemets simples (' '), quand utiliser les doubles (" "), et quand utiliser ces mystérieux backticks (` `) ? Une erreur d'un seul caractère et au lieu de données, vous obtenez une erreur de syntaxe MySQL ou, pire encore, une faille de sécurité.

Ce sujet est l'une des questions les plus populaires sur Stack Overflow (plus de 2 millions de vues !). Et pour cause. Même les développeurs expérimentés s'y perdent parfois. Aujourd'hui, nous allons une fois pour toutes mettre les points sur les i. Vous apprendrez :

\n
• À quoi sert chaque type de guillemet en MySQL
\n
• Comment échapper correctement les données en PHP
\n
• Pourquoi les guillemets doubles sont presque toujours à éviter
\n
• Comment vous protéger contre les injections SQL
\n

C'est parti ! 🚀

Anatomie d'une requête MySQL : trois types de guillemets

En MySQL, il existe trois symboles qui ressemblent à des guillemets, mais qui remplissent des fonctions complètement différentes :

1. Guillemets simples (' ') — pour les valeurs chaînes

Quand les utiliser : toujours lorsque vous transmettez une chaîne (texte, date, email, mot de passe).

SELECT * FROM users WHERE name = 'Jean';\nINSERT INTO articles (title) VALUES ('MySQL pour les nuls');

MySQL interprète tout ce qui se trouve entre guillemets simples comme un littéral de chaîne. Cela signifie que vous dites à la base : « Voici une valeur, n'essayez pas de l'interpréter comme un nom de colonne ou une commande ».

2. Guillemets doubles (" ") — presque pareil, mais avec une nuance

En SQL standard, les guillemets doubles sont utilisés pour les identifiants (noms de tables et de colonnes). Mais MySQL fonctionne par défaut dans un mode où les guillemets doubles sont équivalents aux guillemets simples. Cela prête souvent à confusion.

-- Cela fonctionne, mais il vaut mieux éviter\nSELECT * FROM users WHERE name = "Marie";

Problème : si vous activez le mode strict ANSI_QUOTES, les guillemets doubles commenceront à fonctionner comme des backticks. Votre code sera cassé. Par conséquent :

Règle n°1 : Utilisez les guillemets simples pour les chaînes. Toujours. Les guillemets doubles uniquement si vous savez exactement ce que vous faites, ou pour la compatibilité avec d'autres SGBD.

3. Backticks (` `) — pour les noms de tables et de colonnes

Les backticks (guillemets inversés) sont des identifiants. Ils sont nécessaires pour :

\n
• Utiliser des mots réservés comme noms (mauvaise pratique, mais ça arrive)
\n
• Travailler avec des noms contenant des espaces ou des caractères spéciaux
\n
• Éviter les conflits avec les mots-clés MySQL
\n

-- Mauvais : 'select' est un mot réservé\nSELECT * FROM select;\n\n-- Bon : on échappe avec des backticks\nSELECT * FROM `select`;\n\n-- Obligatoire : nom avec un espace\nSELECT `user name` FROM users;\n\n-- Recommandé : toujours échapper les noms de tables et colonnes\nSELECT `id`, `name` FROM `users` WHERE `status` = 'active';

Important : les backticks NE DOIVENT PAS être utilisés pour les valeurs. Cela provoquerait une erreur.

-- ERREUR : MySQL pensera que 'Jean' est un nom de colonne\nSELECT * FROM users WHERE name = `Jean`;

PHP + MySQL : comment ne pas se perdre avec les guillemets

Voici le plus intéressant : comment tout cela fonctionne en PHP. PHP utilise lui-même des guillemets simples et doubles pour les chaînes, et il est facile de se tromper.

Cas n°1 : Insertion directe d'une variable (dangereux !)

// MAUVAIS : vulnérabilité aux injections SQL\n$name = "Jean'; DROP TABLE users; --";\n$query = "SELECT * FROM users WHERE name = '$name'";\n// Résultat : SELECT * FROM users WHERE name = 'Jean'; DROP TABLE users; --'

C'est une injection SQL classique. Ne faites jamais cela !

Cas n°2 : Échappement avec mysqli_real_escape_string (mieux, mais pas idéal)