Discussion :

[Anibel]

Salut tout le monde,

J'ai commencé à utiliser PDO et je veux savoir si le code suivant est bien sécurisé:

Code php :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
8
9
 
if ((isset($_POST["MM_insert"])) && ($_POST["MM_insert"] == "form2")) {
 
$q = $conn->prepare("INSERT INTO client (name, address) VALUES (:name, :address)");
$q->bindValue(':name', $_POST['name'], PDO::PARAM_STR);
$q->bindValue(':address', $_POST['address'], PDO::PARAM_STR);
$q->execute();
 
}

Merci d'avance

[sabotage]

Pour les injections, oui.
Pense toutefois que l'utilisateur peut saisir n'importe quoi comme du code javascript etc.

[grunk]

Ça empêchera pas l'utilisateur de rentrer n'importe quoi dans la base (des chiffres à la place du nom par exemple) mais tu es protégés des injections SQL si c'est la question

[Anibel]

Merci beaucoup Sabotage et Grunk

[papajoker]

Bonjour,

Si l'on désire un minimum de sécurité (contre pirates ET pour avoir des données valides dans la BD),
Normalement on doit filtrer toute entrée venant d'un formulaire,
donc chaque input 1 par 1 !

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
filter_input(INPUT_GET,'email', FILTER_VALIDATE_EMAIL));
filter_input(INPUT_POST,'urldusite', FILTER_VALIDATE_URL, FILTER_FLAG_PATH_REQUIRED)

[Anibel]

J'ai pas compris papajoker, où dois-je placer ton code dans le mien?

Autre chose, comment se protéger contre autre types d'injection?

Est ce que c'est possible de développer une fonction qui assure tout ça?

[papajoker]

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
8
9
10
11
12
13
if ($_POST[]){
 
$_POST['name']=filter_input(INPUT_POST,'name', FILTER_VALIDATE_EMAIL);
if $_POST['name']===false)  die();
$_POST['address']=filter_input(INPUT_POST,'address', FILTER_VALIDATE_URL, FILTER_FLAG_PATH_REQUIRED);
if $_POST['address']===false)  die('valeur incorrecte');
 
$q = $conn->prepare("INSERT INTO client (name, address) VALUES (:name, :address)");
$q->bindValue(':name', $_POST['name'], PDO::PARAM_STR);
$q->bindValue(':address', $_POST['address'], PDO::PARAM_STR);
$q->execute();
 
}

ici filtres email et url mais c'est pour l'exemple
http://www.php.net/manual/fr/function.filter-input.php

il existe en cherchant de nombreuses librairies de validation.