Sécurité : comment empêcher l'accès aux fonctions d'une bibliothèque

[weabow]

Bonjour à tous,

J'ai créé des bibliothèques de fonctions php (réutilisables) que j'utilise en faisant un include dans mes pages php.

Ma question : comment empêcher un utilisateur mal intentionné de créer sur son serveur une page php qui elle-même fait un include sur mes pages de bibliothèques (sur mon serveur), et ainsi devient en capacité d'intervenir sur mes datas grâce à mes propres fonctions ?

Christian

[transgohan]

Il suffit de configurer ton propre serveur pour interdire l'inclusion de code depuis l'extérieur. C'est configuré de base normalement, et si c'est pas le cas gros LOL pour ton hébergeur...

De base en faisant l'inclusion d'un fichier PHP d'un autre serveur on inclut le code HTML généré par le serveur distant et non le code PHP. Cependant il est possible de configurer le serveur distant pour autoriser l'inclusion de fichier depuis l'extérieur. Mais bien évidement après il faut sécuriser en limitant l'accès sinon c'est une énorme faille de sécurité...

[weabow]

Merci.

Comme tu le constates je suis relativement novice en PHP.

Il s'agit d'un dédié (Linux) et je fais ce que je veux dessus. Maintenant, aurais-tu un bout de lien qui puisse m'éclairer sur cette option que tu décris ?

Bien à toi.

Christian

[transgohan]

Hum non je me suis avancé un peu tout seul dans un délire matinal en fait.

Envoyé par php.net > include()

If "URL fopen wrappers" are enabled in PHP (which they are in the default configuration), you can specify the file to be included using a URL (via HTTP or other supported wrapper - see Supported Protocols and Wrappers for a list of protocols) instead of a local pathname. If the target server interprets the target file as PHP code, variables may be passed to the included file using a URL request string as used with HTTP GET. This is not strictly speaking the same thing as including the file and having it inherit the parent file's variable scope; the script is actually being run on the remote server and the result is then being included into the local script.

Donc en gros tu ne récupéras que le résultat (sans configuration nécessaire sur le serveur distant).

[weabow]

Cool. Merci beaucoup.

Très bonne journée et bon réveil... (un café peut-être ?)

Christian