Discussion :

[Dsphinx]

Bonjour,

j'utilise la fonction eva() trouvée dans le manuel mais j'ai un peu des problèmes de syntaxe. Je fais ceci :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
$coupon_cond = $_SESSION['coupon_cond'];
				$coupon_rabais = $_SESSION['coupon_rabais'];
				$test_total = 0;
 
				$total_fac = $order_total_display;
 
				$str = 'if ($coupon_cond){{total} - $coupon_rabais;}';
				echo $str;
 
				echo ("<br/><br/>");
 
				eval( "\$str = \"$str\";" );
 
				$total_str = "{total}";
 
				$str = str_replace($total_str, $total_fac, $str);
 
 
				echo $str;

Et mon navigateur affiche ceci :

if ($coupon_cond){{total} - $coupon_rabais;}

if (354.00 > 200){354.00 - 100;}

conditions: {total} > 200

cependant j'aimerais rajouter une variante :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
				$coupon_cond = $_SESSION['coupon_cond'];
				$coupon_rabais = $_SESSION['coupon_rabais'];
				$test_total = 0;
 
				$total_fac = $order_total_display;
 
				$str = 'if ($coupon_cond){$test_total = {total} - $coupon_rabais;}';
				echo $str;
 
				echo ("<br/><br/>");
 
				eval( "\$str = \"$str\";" );
 
				$total_str = "{total}";
 
				$str = str_replace($total_str, $total_fac, $str);
 
 
				echo $str;

mais j'ai une erreur :

Parse error: parse error, unexpected '=', expecting '}' in ....

Comment dois-je modifier ma fonction eval() pour ne plus avoir ce problème ?

[Yoteco]

Salut,

C'est vraiment déconseillé d'utiliser eval() et dans ton cas je ne sais pas si c'est inévitable. Tu peux pas faire autrement?

[Dsphinx]

Justement je ne sais ! J'ai vu pas mal de truc sur la sécurité avec eval(); mais je ne sais pas si je peux utiliser une autre fonction... Bref j'aimerais savoir comment faire pour résoudre mon problème... Comment faire pour effectuer une opération x = a - b; dans ma fonction eval ?

Merci !

[Yoteco]

Moi je comprend pas POURQUOI tu veux utiliser eval() ne peut tu pas faire comme ça ?

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
$coupon_cond = $_SESSION['coupon_cond'];
$coupon_rabais = $_SESSION['coupon_rabais'];
$test_total = 0;
                
$total_fac = $order_total_display;
 
$str = 'if ($coupon_cond){{total} - $coupon_rabais;}';
echo $str;
                
echo ("<br/><br/>");
                
if($coupon_cond)
{
    {total} - $coupon_rabais;
}
                
$total_str = "{total}";
                    
$str = str_replace($total_str, $total_fac, $str);
 
                
echo $str;

[Dsphinx]

car les informations contenues dans mes variables ({total} > 300)sont stocké dans une base de données !

[spawntux]

Et si tu mùet un == dans ton if ??

[mathieu]

car les informations contenues dans mes variables ({total} > 300)sont stocké dans une base de données !

et tu utilises ce calcul à quel moment ?
comme le disait Yoteco c'est ultra super déconseillé d'utiliser "eval" donc si tu nous donnes plus de détails on peut t'aider à le faire d'une autre façon

[Dsphinx]

J'ai deux champs dans ma base de données : conditions qui contient "{total} > 300" et rabais qui contient "100". "{total} > 300" sera écrit par les utilisateurs qui vont dire tiens la conditions est si le total est plus grand que 200, on lui accorde un rabais de 100.- ! Je reprend ces valeurs et j'aimerais les mettre dans un if et pour voir changer {total} pour la valeur $order_total_display; ensuite j'aimerais pouvoir si {total} est egal 354.- lui faire le rabais de 100.- et ma variable $test_total afficherai 254.- !

Merci de votre aide !

Voici la dernière version de mon code:

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
$coupon_cond = $_SESSION['coupon_cond'];
$coupon_rabais = $_SESSION['coupon_rabais'];
$test_total = 0;
 
$total_fac = $order_total_display;
 
$str = '
if ($coupon_cond)
{
$test_total = {total} - $coupon_rabais;
 
};';
 
echo $str;
 
echo ("<br/><br/>");
 
$total_str = "{total}";
 
$str = str_replace($total_str, $total_fac, $str);
 
eval( "\$str = \"$str\";" );
 
echo $str;

et cela donne ceci :

if ($coupon_cond) { $test_total = {total} - $coupon_rabais; };

if ({total} > 200) { 0 = 354.00 - 100; };

conditions: {total} > 200

[Dsphinx]

j'ai fais un autre test :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
8
if( eval( "\$str = \"$str\";") )
{
echo ("bla bla");
}
else
{
echo ("bli bli");
};

en sachant que $str contient : 325.00 > 200 il m'affiche à l'écran bli bli !!! Ce n'est pas juste car si 325 est plus grand que 200 on affiche bla bla ??? Je n'y comprend plus rien... lol est-ce que la fonction eval n'est pas reconnue ???

Merci de m'aidé un ptit coup ! Est-ce que la ligne est juste : if( eval( "\$str = \"$str\";") ) ???

[mathieu]

quel sont les différentes conditions que peuvent mettre les utilisateurs ?

oh ! je viens de voir un gros problème de sécurité : un visiteur peut mettre du code qui envoie un e-mail avec les codes d'accès à la base de données ou bien le contenu complet de la base de données par exemple

[Dsphinx]

oui je sais ce n'est pas encore sécurisé ! (je vais le faire) Il peut mettre plusieurs conditions mais toutes n'ont pas été définies et avant de faire les autres conditions j'essaie avec une...

Merci !

[mathieu]

tu as oublié ma 1re question

quel sont les différentes conditions que peuvent mettre les utilisateurs ?

[Dsphinx]

Voici les conditiosn "{total} > X" {total} sera changé par le montant total et X sera la valeur que choisiras l'utilisateur. {catogerie} == X {categorie} est la rubrique dans laquelle le client a passé commande et X est choisi par l'utilisateur. Y en a encore d'autre mais elle ne sont pas définies !

Merci !

[mathieu]

Y en a encore d'autre mais elle ne sont pas définies !

il faut que tu fasses la liste avant de continuer parce que tu ne peux pas exécuter du code PHP fournis par le visiteur avec eval, il pourra exécuter n'importe quel code

[Dsphinx]

C'est juste ! Mais ce n'est pas le visiteur qui choisira ces conditions c'est un administrateur (une personne de confiance) ! Donc pas de soucis du point de vue de la sécu ;-)

[Dsphinx]

Par ailleurs j'aimerais bien savoir pourquoi, si l'utilisateur ne peut poster ($_POST) dans la fonction eval(), cela est dangereux ? Je ne comprend pas... et je n'ai non plus pas envie d'offrir aux hackers la chance d'avoir une faille facile...

merci !

[mathieu]

C'est juste ! Mais ce n'est pas le visiteur qui choisira ces conditions c'est un administrateur (une personne de confiance) ! Donc pas de soucis du point de vue de la sécu ;-)

ah ok donc ça peut être bon
en donnant la possibilité à une personne d'exécuter du code dans la fonction "eval" tu lui donnes accès à tous le système donc ça veut dire que même si tu essayes de sécuriser la chose l'administrateur aura les même possibilités que s'il avait un accès FTP aux fichiers, il pourras modifier les fichiers, accéder aux bases de données, etc.

Si cela ne te pose pas de problème on peut passer à la résolution de ton problème maintenant.
je te propose ce code là :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
$coupon_cond = $_SESSION['coupon_cond'];
$coupon_rabais = $_SESSION['coupon_rabais'];
 
// attention je ne sais pas d'où vient cette valeur
$total_fac = $order_total_display;
 
eval("\$resultatCondition = ($coupon_cond);");
 
if ($resultatCondition) {
    $test_total = $total_fac - $coupon_rabais;
} else {
    $test_total = $total_fac;
}
 
echo "Condition : $coupon_cond<br/>";
echo "Resultat : $resultatCondition<br/>";
echo "total_fac : $total_fac<br/>";
echo "coupon_rabais : $coupon_rabais<br/>";
echo "test_total : $test_total <br/>";

[Dsphinx]

Okay merci ! ca fonctionne !

Cependant mnt je fais ceci :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
8
9
10
eval ("
 
if(\$str)
{	
	\$codi = \"La condition est validée\";
}
 
");
 
echo $codi;

sachant que $str est égal à 200 > 500 il m'affiche que la conditon est validée alors que c'est faux !!! Je ne comprend plus rien !

[mathieu]

Cependant mnt je fais ceci :

pourquoi tu ne gardes pas le code que je t'ai proposé ? mets le moins de chose possible dans le "eval" ça te permettra de garder un code plus claire.
je pense que tu peux garder le "if" en dehors du "eval" non ?

[Dsphinx]

Merci du conseil je vais essayer de mettre mon if hors du eval mais j'ai des erreurs de parse error... Enfin lorsque je disais "Mnt je fais ceci" c'était pour dire que j'essayais de faire cela et que je voulais moi aussi comprendre comment codée cette fonction. C'est pour ça que je me suis inspiré de ton code mais j'ai aussi envie de faire des essais de manipulation pour trouver la structure la plus optimale ! Merci bcp je vais essayer comme tu dis... De ce fait je dois faire ceci :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
if(eval ("\$str"))
{	
	$codi = "La condition est validée";
}

mais le serveur me répond : Parse error: parse error, unexpected T_STRING