Securisation acces page php

Version imprimable

21/02/2012, 10h56
design_57

Securisation acces page php

Bonjour ,

Voila je suis en train de faire mon site en php , seulement je rencontre un probleme agaçant.
Je m'explique ;

J'ai une page tutoriaux payant, et je veut que lorsqu'un membre inscrit achète un tuto, ce dernier se retrouve dans son espace perso, ou il peut le consulter a volonté.(normal puisque c'est a lui)
La hierarchie des page est la suivante ;

-Une page Vitrine ( tutoaacheter.php )

- Un espace mon compte ( mon-compte.php qui regroupe plusieurs sous catégorie dont mes videos(acheté) )

- une page mes-videos.php qui regroupe chaque achat.

- et la fameuse page que je n'arrive pas à sécuriser. visionner-tuto.php

Seulement voila le bug c'est que lorsque dans la barre d'adresse il entre par exemple un ID de tuto différent , et bien il peut les consulter , c'est recurrent et je suis bloquer.
Je ne vois pas comment limiter l'accés à un tuto( acheté ) et retourner une erreur dans le cas contraire.

Merci par avance a tous ceux qui voudront bien m'accorder un peu de temps.
21/02/2012, 11h04
rawsrc

Bonjour,

Tu vérifies que l'id du tutorial appelé en URL est dans la table des tutos achetés par le membre. Un simple SELECT COUNT(id) AS nb FROM t_vente WHERE id_membre = ... AND id_tutorial = ... devrait faire l'affaire
Ou à la connexion du membre, tu mets en session les id des tutos auxquels il a accès.
21/02/2012, 11h08
design_57

php

Pardon ,
Mais je suis pas super bon en php ,
Tu pourrais être plus clair stp.
Je ne vois pas comment faire ce genre de requête.

merci
21/02/2012, 11h17
rawsrc

Ok,
Comment gères-tu l'historique des achats effectués par tes membres ?
21/02/2012, 11h28
design_57

Securisation acces page php

Et bien je t'ai repondu en mp.
21/02/2012, 11h38
rawsrc

Citation:

Envoyé par design_57

Et bien je t'ai repondu en mp.

Pas de mp pour les questions techniques, le forum est là pour ça ! :fessee:

Citation:

Et bien j'ai une table effectivement qui se nomme 'tutorialacheter'.

Cette derniere contient bien les achats effectué par un membre , seulement voila, admettons que le membre ayant l'id 1, a acheter un tutorial ayant l'id 1 et juste celui la ,
et bien il arrive a consulter tout les tutos juste en faisant par la méthode que j'ai expliquer plus haut.

Donc dans ton script qui affiche le tutorial tu contrôles avec une requête SQL si l'id du tutorial est accessible (a été acheté) par l'id du membre.
Quelle est la structure de ta table tutorialacheter ?
21/02/2012, 11h53
design_57

Securisation acces page php

Désole pour le mp ;

Par contre je n'ai pas reussi a faire le script qui controle le tuto acheter !
comment faire ?

la structure c'est ca ;
id autoincrement
iduser id de user
idtp l'id du tuto acheter
date
id transaction
data
J'espere que tu va pouvoir m'aider ca fait des jours que je bloque.

Bon c'est pas trop difficile,
Quelque chose du genre :

Code:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
<?php
 
include 'connexion.php'; // par exemple
 
// ici tu récupères l'id de l'utilisateur demandant le tutorial
$idUser = ...; // à partir d'une session par exemple
 
// ici tu récupères l'id du tutorial demandé
$idTutorial = $_GET['idtp']; // par exemple, faut voir comment sont gérées tes URL 
 
// tu t'assures que tous les paramètres sont numériques
if ( ! (ctype_digit("$idUser") || (ctype_digit("$idTutorial")))) {
   // erreur : paramètres incorrectes
 
   // exit;
}
 
 
$sql = "SELECT COUNT(id) AS nb FROM 'tutorialacheter' WHERE iduser = $idUser AND idtp = $idTutorial";
$qry = mysql_query($sql) or die(mysql_error());
$nb  = mysql_result($qry, 0, 0);
 
if ($nb == 0) {
   // pas autorisé
   // redirection message d'avertissement
   header('Location...');
   exit;
}
 
// ici tout est OK  => affichage du tutorial demandé
 
?>

21/02/2012, 14h21
design_57

Securisation acces page php

Trop fort tu geres ,
merci! je test ca de suite
qu'entends tu par comment sont gerés les urls?

Voila pour finir , je vais détaillé un peu plus mes explications ce sera plus simple !
Donc les tutos a acheter se trouvent sur une Table. 'TutoriauxBuy'
Qui se compose comme ceci ;
idtp AI
iduser INT
titre text
contenu text
description text
icn text
vignette text
grandeimg text
prix text
date text
cat text
niveau text
visio text
part text

Et d'autre part d'un historique sous la forme d'une table 'Tutos Acheter '

id autoincrement
iduser id de user
idtp l'id du tuto acheter
date
id transaction
data

Donc lorsque j'up un tutorial, il est comptabilisé dans la bdd, sous l'id auto increment 'idtp' de la table 'TutoriauxBuy' , seulement lorsque je l'achète ( via paypal ) il n'est pas comptabilisé dans l'autre table 'Tutos Acheter', donc je n'ai pas la trace d'achat nécessaire a la recupération de l'id pour verification plus tard dans le script.

Dans l'attente de vous lire...
Je suis totalement perdu.
21/02/2012, 21h44
rawsrc

Citation:

Envoyé par design_57

qu'entends tu par comment sont gerés les urls?

C'était pour savoir quelle clé tu récupérerais avec le $_GET pour désigner idtp.

Euh c'est toi qui a créé la base ?
Parce que nommer une table TutoriauxBuy et une autre Tutos Acheter c'est pas tip top !
Ensuite mettre tous les champs en type text, c'est une grossière erreur. Si des types de données existent dans un SGBD c'est peut-être parce qu'il y a une bonne raison...
Et pour Paypal, chaque transaction doit avoir un identifiant unique te permettant de savoir par un moyen spécifique si tout s'est bien passé (je ne connais pas PayPal), il faut potasser un peu leur API. Une fois la confirmation de bonne fin reçue, tu peux rechercher le tutorial acheté corrrespondant à l'id de la transaction et pourvoir ainsi l'insérer dans l'autre table.
22/02/2012, 03h56
design_57

Securisation acces page php

Pense tu pouvoir m'aider s'il te plaît ,
oui c'est moi qui est fait la base ,
tu me conseille quoi comme type de champs ?
Je vois que tu connais super bien le domaine ,

Aurait tu le temps de m'aider un peu stp ?