Discussion :

[scamphp]

Bonjour

Je travaille sur un petit router. Tout pointe vers l'index puis je dois traiter (router) les url.

1ere étape ne jamais faire confiance. Puisque je vais récupérer mon URL et que tout le monde peut y taper n'importe quoi il faut donc que je la filtre.

Ca c'est la théorie.... mais en pratique

Je récupère mon URL avec $_SERVER["REQUEST_URI"] bon choix ? ou solution alternative ???

Si dans mon URL j'ajoute

Code html :

Sélectionner tout - Visualiser dans une fenêtre à part

<script>alert(document.cookie)</script>

Si j'affiche l'url

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

echo ( $_SERVER["REQUEST_URI"] );

j’obtiens

"/%3Cscript%3Ealert(document.cookie)%3C/script%3E"

Si avant je fais

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

filter_var( $url  , FILTER_SANITIZE_STRING )

J'obtiens toujours

"/%3Cscript%3Ealert(document.cookie)%3C/script%3E"

Donc soit cela ne sert a rien de filtrer $_SERVER["REQUEST_URI"].

Soit c'est le filtre qui n'est pas adapté

Soit je ne comprends pas l'utilité du filtre.

[mathieu]

pour sécuriser une données, il faut vérifier qu'elle contient uniquement le contenu autorisé.
pour votre exemple, je suppose que la variable ne peux contenir qu'un des fichiers utilisé par le routeur.

or avec la fonction "filter" vous retirez uniquement les balises (https://www.php.net/manual/fr/filter...s.sanitize.php). donc vous ne vérifier pas le contenu.
un test à faire serait d'avoir une liste des différents URL possibles et de tester si l'URL demandé est bien dans la liste.

[scamphp]

Merci pour les info.

Il y a un truc que je ne comprend pas c'est que je filtre $_SERVER["REQUEST_URI"] ou pas avec filter_var().

J'obtiens la même chose, on dirait que $_SERVER["REQUEST_URI"] filtre déjà tout seul ?

[Invité]

Bonjour,

Proverbe du jour :

"Ça ne sert à rien de mettre des bretelles et une ceinture si tu ne sais pas enfiler ton pantalon..."

1- Les filtres ne sont pas des baguettes magiques.
Ils font ce qu'ils sont prévus de faire. Pas plus.

2- voir :

• urlencode() / urlencode()
• FILTER_SANITIZE_URL / FILTER_SANITIZE_ENCODED
• strip_tags()

3- Comme l'évoque mathieu, c'est à toi de savoir quelles URLs sont "acceptables", et ce qui ne l'est pas.
Ensuite tu vérifies/filtres en fonction de tes critères.