les liens et php avec les "include" [Résolu]

[pp_le_moko]

bonjour,
sur ma page principale (resto.php), j'ai:

Code :

1
2
3
4
5
<?
		if(!isset($Message) or $Message == "") $Message = 'accueil';
		$IsFileOk = include($Message.'.php');
		if (!$IsFileOk) include('accueil.php');
	?>

jusqu'ici tout est normal. Dans accueil.php, j'ai un lien-image:

Code :

<a href="resto.php?Message=entrees_froides" onmouseout="MM_swapImgRestore()" onmouseover="MM_swapImage('entrees froides','','images/bt_ent_fro_dwn.png',1)"><img src="images/bt_ent_fro.png" name="entrees froides" width="97" height="97" border="0" id="entrees froides" /></a>

En ce qui me concerne, tout est normal. Le lien pointe sur la page principale (resto.php) et inclue là où je lui demande "entrees_froides" (entrees_froides.php).

Mais, lorsque j'active ce lien, pas de message d'erreur, et il m'affiche toujours la page resto.php avec l'include "accueil.php". Pourquoi ?

merci de bien vouloir me répondre

[Eric2a]

Salut,

Code :

1
2
3
4
5
6
7
8
9
10
11
12
13
14
<?php
$Message=isset($_GET['Message'])?$_GET['Message']:'';
if($Message=='')$Message='accueil';
 
$filename=dirname(__FILE__).DIRECTORY_SEPARATOR.$Message.'.php';
$IsFileOk=file_exists($filename);
if($IsFileOk){
	$IsFileOk=include($filename);
	if((!$IsFileOk)and($Message!=='accueil')){
		$filename=dirname(__FILE__).DIRECTORY_SEPARATOR.'accueil.php';
		$IsFileOk=include($filename);
	}
}
?>

?

[s.n.a.f.u]

Effectivement, il faut récupérer le paramètre passé en GET, les variables étant visiblement (et heureusement !) désactivées sur ton serveur.

Je dis heureusement ,parce que tu fais déjà quelque chose de très dangereux : il ne faut jamais inclure DIRECTEMENT un fichier dont le nom est passé dans l'url. C'est un des meilleurs moyens de se faire hacker !

Si tu ne veux pas gérer une liste de pages accessibles, tu devrais au moins tester que le fichier appelé existe à l'endroit voulu (avec file_exists), ce qui empêchera au moins l'exécution de scripts distants...

C'est la raison du code précédent (qu'il aurait été nécessaire de commenter, non )

[pp_le_moko]

Bonsoir,

Je suis tout à fait d'accord avec le dernier commentaire... Une explication s'imposait donc.
Le code seul (qui fonctionne parfaitement) méritait effectivement une explication. Merci à Snafu pour son intervention.

[Eric2a]

Re,

C'est vrai que je suis avare (par flemme) en commentaires.

Promis, je vais faire un effort.