[Sécurité] protection données XML

[nkdb]

Bonjour à tous,

je suis en train d'écrire une petite application qui manipule des données stockées dans un fichier xml/toto.xml.

J'utilise simpleXML pour faire tout ca ... pas de problèmes particuliers.

Mais voilà, l'accès au fichier xml/toto.xml est "free" !!! Ce qui ne va pas du tout, car il contient des infos "privées" !

Comment arriver à permettre le "load" du fichier XML par simpleXML tout en protégeant la lecture directe du fichier ?

Snifff ... j'espère que c'est possible ...

(j'ai deja regardé du coté du .htaccess et de la protection du répertoire par user/passwd ... mais ca ca va pas du tout).

Merci d'avance pour vos lumières

[Mr N.]

Soit .htaccess en epechant tout acces à ton fichier
Soit tu sors ce fichier de l'espace web et tu le mets ailleurs sur ton disque.

[nkdb]

bon je crois que je vais :
=> mettre mon XML dans une constante PHP définit ds un fic .php si SESSION ok.
=> J'inclus le fichier si SESSION ok
=> je "simpleXML load" via la constante.

Ca devrait sécuriser la chose.

Merci

[Mr N.]

Pas du tout ! Ca ne va pas empecher les gens de contourner php pourattaquer directement le fichier xml...
Pour une page php :
requete --> apache --> php.
Pour une image gif, un fichier xml :
raquete --> apache.

[nkdb]

J'ai un fic : datas.xml.php contenant (fonctionnellement) :

Code :

1
2
3
4
5
6
7
8
9
10
11
 
<?php
 
Si $_SESSION[ok] (après procédure de connection) alors {
define de la constante DATAXML = "
<xml version="1.0">
<flag>fdatas</flag>
etc xml ...
"
}
?>

Puis dans le fichier où je veux utiliser les datas XMLisées :

Code :

1
2
3
4
5
6
7
8
 
<?php
Si $_SESSION[ok] alors {
  include_once(data.xml.php);
  $XMLDATAS = load simpleXML data (constante DATAXML);
  utilisation des datas $XMLDATAS;
}
?>

Ca devrait marcher ca non ?

[Mr N.]

Quand tu auras tout dis... Oui ça devrait etre bon, meme si ce n'est pas très propre (Mais je reconnais qu'on n'a pas tout le temps le choix).

[nkdb]

j'aurais aussi préféré garder mon fichier datas.xml tout propre ...

[Mr N.]

Pourquoi tu ne le déplace par hors de l'espace web ? C'est qui ton hébergeur ?

[nkdb]

je suis chez 1and1 ... mais le truc c'est que ceci fait parti d'un dev d'un outils que je vais distribuer en GPL, qui une fois installé fonctionnera tout seul ... je voudrais eviter au max que les gens soient obligés de mettre les mains dans le cambouis, car je suppose que les espaces hors web varis seulon les hebergeurs ...?

[Mr N.]

Oui par exemple chez free ça n'existe pas