[Sécurité] Passage de variable en GET

[meda]

Bonjour tout le monde,

Je suis entrain de faire un site internet en php et j'aurais quelques questions :

1. Certains sites ont une url de type www.monsite.com/index.php?num=unnombre (comme pixmania je crois)
Je voudrais savoir quels sont les avantages et les inconvenients de ce type d'architecture ?( Je sais commment le faire mais je n'ai pas envie de m'aventurer dans une chose qui ne sert à rien et qui prends du temps).

2. ADODB ou PDO ?

et puis c'est tout pour l'instant.

Merci beaucoup pour votre aide.

[ciesco]

En general quand tu vois ca c'est que il y a un traitement derriere avec un moteur de template existant ou fait maison...
Groso modo tu recupere le Get et ca te permet de faire un include de la partie qui t'interresse.
L'avantage est enorme car ca te permet de separer le code de ta presentation. Souvent ca corespond a une prog oriente objet comem tu dis mais c'est pas non plus obligatoire.

[zulkifli]

L'inconvenient à première vu c'est qu'on peut modifier l'url. Il faut alors conctroler le parametre $_GET

[dev_php_205]

Envoyé par zulkifli

L'inconvenient à première vu c'est qu'on peut modifier l'url. Il faut alors conctroler le parametre $_GET

Ce qui est un avantage ... On peut ainsi controler que la personne connectee a le droit d'afficher la page !
C'est que je fais. Je recupere le Get et je compare avec les droits de l'utilisateur (qui appartient a un groupe ) s'il est autorise ou non a afficher la page ... Ce qui empeche de tapper l'url en direct .. il faut a chaque fois passer par index qui test !

[meda]

J'ai déjà un moteur de template mais en fait je voulais savoir si une telle architecture n'avait pas des défauts, genre cela est plus long côté serveur, faille de sécurité....
Pour ce qui est de la modification de l'url, il y aura un controle par session et htaccess après.

[ciesco]

Non si tu as un moteur de template (un bon...) au contraire ca sera plus rapide. En partant du principe que 1000 personen qui reflechisse ensemble optimise mieux que toi tout seul...

[meda]

En fait j 'essaie d'optimiser au maximun mon code et les temps de chargement des pages et comme je ne trouve pas de site ou cela est expliqué.
Sinon j'ai une autre question :
Il vaut mieux avoir une page avec un formulaire ->une page de traitement->une page de reponse ou un page formulaire->une page de traitement puis affichage ou etc ....

[zulkifli]

Envoyé par dev_php_205

Ce qui est un avantage ... On peut ainsi controler que la personne connectee a le droit d'afficher la page !
C'est que je fais. Je recupere le Get et je compare avec les droits de l'utilisateur (qui appartient a un groupe ) s'il est autorise ou non a afficher la page ... Ce qui empeche de tapper l'url en direct .. il faut a chaque fois passer par index qui test !

Ouais mais un $_GET est toujours modifiable dans l'url
regarde pour une architecture qui fonctionne de cette manière

Code :

1
2
3
 
 
include( $_GET['page'].".php" );

n'est pas sécurisée, préférons

Code :

1
2
3
4
 
if( file_exists($_GET['page'].".php") ){
   include( $_GET['page'].".php" );
}

[dev_php_205]

je ne fais pas comme cela .

Je dépile tout le GET, je compare avec un tableau qui pour chaque groupe donne les pages autorisees. Le groupe est connu par la connection de l'utilisateur.
Si la page demandee n'est pas autorisee je redirige vers une page d'avertissement. Sinon j'appel la page demandée en remettant les param en GET.
Dans toutes mes pages j'inclus le test. Je fait idem avec les params passes a chaque page.
Ceci n'empeche evidemment pas de tester l'integrite des valeurs de chaque param. Mais ca c'est fait apres.
Mais tout ca c'est pour un intranet. Aucun probleme de lenteur de serveur ou de temps de chargement de page ...

[zulkifli]

ok dev_php_205 je voulais juste dire a meda que le seul inconvénient de travailler avec les $_GET (en géneral) était de rigoureusement les controler (ce que tu fais) car il peuvent être modifiés. Mais tout dépend de l'achitecture, qui est propre à chaque developeur

[meda]

Non mais en fait je sais comment faut faire (je fais comme dev_php_205)
mais je voulais juste savoir s'il n'y avait pas d'inconvenient avec cette méthode et si cela est vraiment profitable pour le site.

Sinon personne peut me dire lequel est le mieux entre adodb et pdo ?