[Sécurité] Sécurité de 'test.php?page=truc'

[Yoshio]

Bonjour,

Certain vont sûrement penser pourquoi je perd mon temps avec des truc pareille lol mais bon ...

On a un url du type :

Code :

http://www.mon-site.com/index.php?page=truc

'truc' n'étant pas une page valide autorisée (voici la bête question)
Ça serait mieux
- d'afficher un message d'erreur
- ou d'afficher la page d'accueil
- ou autre chose ?!

J'ai une autre question un peu plus intelligente cette fois ci lol

Est-ce vraiment sécurisé de faire un site de ce style ci ?
Une page index.php avec un include dedans selon la variable passé en url (biensur il y aura un teste pour voir si la page existe et peut être affichée)

[wamania]

Salut

Pour la première question :
Perso, je serais pour un message d'erreur, puis une redirection vers la page d'accueil.
Le message d'erreur fait comprendre à un éventuel "hacker" que tu as prévu ce cas. Il est important pour l'image de sécurité de montrer que tu y a pensé.

Pour les passage de page par url, emploie plutot un code, même simplissime, mais qui ne reflète pas la réalité directe de tes pages (nom de fichier...)
En gros, pas de

Code :

include $_GET['page'].'.php';

mais

Code :

1
2
3
4
5
6
 
if ($page == $code_page_truc)
{
    include 'truc.php';
}
// $code_page_truc peut etre un nombre, un code aléatoire....

[Yoshio]

Envoyé par wamania

Code :

Je ne comprend pas à quoi sert ce code ?!

[wamania]

En gros, au lieu de
http://www.mon-site.com/index.php?page= truc

puis,

Code :

include truc.php

Je préfère
http://www.mon-site.com/index.php?page=1gjdffy85

Code :

1
2
3
4
5
 
if ($page == '1gjdffy85')
{
    include 'truc.php';
}

[Yoshio]

Ah ouias j'avais prévu de ne pas mettre le même nom que le nom du fichier

Mais il ne faut pas mettre 'gdfh5h4hfg5gfh' car pour le référencement ... lol

[wamania]

oui évidemment, c'est exagéré. Comme j'ai dit, n'importe quoi autre que nom de fichier.
En général, je me contente des ID de mes pages en BDD, ou des 3 premières lettres du nom de la page.

[Yoshio]

J'aimerais savoir aussi si c'est une bonne idée de faire son site comme ça ?