[Sécurité] Question sur la sécurité d'un site vis à vis des variables externes

[Space Cowboy]

Pour le référencement, il est préférable de modifier le titre d'une page en fonction du contenu.

Est il dangereux d'afficher dans le titre les variables que l'on recoit en URL ?

Je passe toutes les variables entrant dans le site avec la fonction suivante :
function quote_smart($value)

Code :

1
2
3
4
5
6
7
8
9
10
11
12
13
 
function quote_smart($value)
{
	// quote_smart
	if (get_magic_quotes_gpc())
		$value = stripslashes($value);
 
	// Protection si ce n'est pas un entier
	if (!is_numeric($value))
		$value = mysql_real_escape_string($value);
 
	return $value;
}

Si je recoit index.php?page=Article&rub=Ohoho
Le titre de la page devient : Site - Article - Ohoho
L'utilisateur peut mettre ce qu'il souhaite dans les variables, cela modifie le titre.

Est ce suffisant ?

[Raideman]

D'instinct, je dirai que ca ne géne pas plus que lorsque tu reçois d'autres variables pour faire des traitements.

Donc à priori, je ne vois pas de problèmes, mais peut etre que quelqu'un de plus calé pourra confirmer/infirmer.

[Space Cowboy]

C'est vrai que vu comme ca ...

[mathieu]

les données externes doivent être protégées avec "mysql_real_escape_string" quand elles sont utilisées dans une requête
par contre au moment de l'affichage dans une page HTML ce sont les balises qui peuvent poser problème donc pour ton titre utilise la fonction http://php.net/htmlspecialchars

[KOogar]

Envoyé par Space Cowboy

Pour le référencement, il est préférable de modifier le titre d'une page en fonction du contenu.

Oui, le titre de ta page doit être en rapport avec le contenu, sinon cela n'a aucun sens, que cela soit pour les visiteurs ou les gros moteurs.
Pour ce qui est de tes URLs, je te conseil vivement de les passer en rewriting. Cela te permettra de cacher tes variables et surtout d'avoir des URLs propres. Ce qui donnera plus de poid à tes pages pour être mieux référencé.

[francis m]

Envoyé par mathieu

les données externes doivent être protégées avec "mysql_real_escape_string" quand elles sont utilisées dans une requête
par contre au moment de l'affichage dans une page HTML ce sont les balises qui peuvent poser problème donc pour ton titre utilise la fonction http://php.net/htmlspecialchars

+1
C'est cela qui est important !
pour préciser, par requête, mathieu veut dire une requête sur une base de données