Discussion :

[Publicnew]

Bonjour,

Voici un exemple d'adresse internet :

http://www.monsite.com/configurer.aspx?ID=0d45897e-5bbc-47c5-a4e9-987e-b53yk-f4d5

Comment faire pour cacher la partie :

ID=0d45897e-5bbc-47c5-a4e9-987e-b53yk-f4d5

[Dewey12]

Bonjour,

Pour moi, je dirais que ce n'est pas possible.

Si tu veux de la sécurité et surtout éviter que l'utilisateur touche à l'ID, regarde du coté des variables de sessions ou de la méthode POST.

Bonne soirée,

Dewey12

[meziantou]

Tu ne peux pas masquer une partie de l'URL.
N'oublie pas que tout ce que l'utilisateur peut modifier (variable GET/POST, cookies) doit être validé côté serveur pour éviter tout problème de sécurité.

[Publicnew]

Tu ne peux pas masquer une partie de l'URL.
N'oublie pas que tout ce que l'utilisateur peut modifier (variable GET/POST, cookies) doit être validé côté serveur pour éviter tout problème de sécurité.

C'est une page aspx et le code( en vb.net) est dans une page distincte.
Je pense qu'elle est validée du côté serveur, à moins que je ne me trompe ?

[meziantou]

Ce que je voulais dire c'est simplement que, comme toute valeur éditable par l'utilisateur, elle doit être validée/vérifiée dans ton code coté serveur (ce qui est ton cas si tu fais ces validations dans ton code VB.NET) pour par exemple qu'un utilisateur n'accède pas aux données d'un autre utilisateur en changeant juste un ID.
Si les vérifications sont effectuées correctement il n'y a pas à avoir peur qu'un utilisateur édite les valeurs dans l'URL.

[Publicnew]

Ce que je voulais dire c'est simplement que, comme toute valeur éditable par l'utilisateur, elle doit être validée/vérifiée dans ton code coté serveur (ce qui est ton cas si tu fais ces validations dans ton code VB.NET) pour par exemple qu'un utilisateur n'accède pas aux données d'un autre utilisateur en changeant juste un ID.
Si les vérifications sont effectuées correctement il n'y a pas à avoir peur qu'un utilisateur édite les valeurs dans l'URL.

Merci,

Ta réponse me rassure.

[Immobilis]

Salut

comme toute valeur éditable par l'utilisateur, elle doit être validée/vérifiée

Dans le cas de l'id, pas vraiment en fait. Les deux URL ci-dessous sont valides:

• configurer.aspx?ID=0d45897e-5bbc-47c5-a4e9-987e-b53yk-f4d5
• configurer.aspx?ID=0d45897e-5bbc-47c5-a4e9-987e-b53yk-f4d6

Si les vérifications sont effectuées correctement

Tout le problème est là en fait. Ton URL contient un identifiant, un Guid. C'est déjà une sécurité. En effet, la probabilité de trouver un Guid qui corresponde à un enregistrement dans une table de ta base de données est très faible car il y a des milliards de milliards de combinaisons.

Mettons que j'ai un gros coup de bol et que j'en trouve un. Ton programme doit vérifier que j'ai accès à la donnée et que j'ai le droit de les modifier, c'est tout.

C'est d'autant plus vrai quand l'identifiant est juste un entier.

A+

[Publicnew]

Bonjour,

Pour moi, je dirais que ce n'est pas possible.

Si tu veux de la sécurité et surtout éviter que l'utilisateur touche à l'ID, regarde du coté des variables de sessions ou de la méthode POST.

Bonne soirée,

Dewey12

Merci,

Il me semblait avoir lu quelque part (mais je ne sais plu où), qu'il existait des logiciels ou des méthodes qui transformaient justement ces Url longues en Url à minima, et dans le but de permettre aux moteurs de recherche (qui ont du mal à suivre à ces Url), de les indexer plus facilement.

Pour ma part, et comme tu l'as dit , c'est plûtot pour une question de sécurité, et je me doutais un peu de cette réponse.

[Dewey12]

Merci,

Il me semblait avoir lu quelque part (mais je ne sais plu où), qu'il existait des logiciels ou des méthodes qui transformaient justement ces Url longues en Url à minima, et dans le but de permettre aux moteurs de recherche (qui ont du mal à suivre à ces Url), de les indexer plus facilement.

Pour ma part, et comme tu l'as dit , c'est plûtot pour une question de sécurité, et je me doutais un peu de cette réponse.

Oui il est possible de hacher ton ID pour avoir une chaîne de caractère "illisible".

Sinon regarde du coté Server.Transfert sur la FAQ cela me semble te correspondre : http://dotnet.developpez.com/faq/asp...a#PreviousPage

[Publicnew]

Oui il est possible de hacher ton ID pour avoir une chaîne de caractère "illisible".

Sinon regarde du coté Server.Transfert sur la FAQ cela me semble te correspondre : http://dotnet.developpez.com/faq/asp...a#PreviousPage

Je vais aller voir de près à cette adresse, même si la réponse de Meziantou m'a complètement rassurée.