delete effectifs ou?

Bonjour,

Je voulais savoir comment vous gériez les delete sur vos sites...
Vous effacez réelement les données ou faites un update pour les rendre inactif ou invisible?

Ceci afin d'eviter que des personnes mal intentionnée fasse de votre

delete from user where id=5

delete from user

J'ai un petit doute la dessus....:?

Cela dépend des tables. Pour les opérateurs d'un centre d'appel, je les rends inactifs, car je ne peux les supprimer puisqu'ils sont référencés dans la table qui gère les appels téléphoniques.

Pour les vieux messages de forum sans aucun intérêt, oui si je venais à les supprimer ce serait avec une syntaxe du type :

Code:

---

1 2	DELETE FROM MA_TABLE WHERE ID_MATABLE=23

---

Il est très très rare que je supprime des données d'une base de données. Néanmmoins la manière la plus courante de transformer une requête pour pirater le site est par INJECTION SQL. L'injection SQL consiste à mettre un code particulier pour transformer la requête précédente en :

Code:

---

1 2	DELETE FROM MA_TABLE WHERE ID_MATABLE=23 OR 1

---

Plusieurs méthodes permettent d'empêcher cela.
La première méthode (la mauvaise) en rajoutant une limite en mySQL

Code:

---

1 2	DELETE FROM MA_TABLE WHERE ID_MATABLE=23 LIMIT 1

---

Cela deviendra

Code:

---

1 2	DELETE FROM MA_TABLE WHERE ID_MATABLE=23 OR 1 LIMIT 1

---

Seule une ligne sera effacée, laquelle par contre, on l'ignore.
De plus LIMIT ne respecte aucun standard SQL, à éviter donc.

La bonne méthode : Contrôler les données !
Dans le cas d'une valeur integer, il suffit de la "CASTER".
Exemple PHP très simple :
Code attaquable par injection sql :

Code:

---

1 2 3 4 5

<?php //on suppose qu'on est connecté à la base de données mysql_query("DELETE FROM MA_TABLE WHERE ID_TABLE=".$_GET['clef']); ?>

---

Si on appelle la page toto.php?clef=23%20OR%201 , alors la requête exécutée sera :

Code:

---

1 2	DELETE FROM MA_TABLE WHERE ID_MATABLE=23 OR 1 LIMIT 1

---

Pour empêcher cela :

Code:

---

1 2 3 4 5 6 7 8 9 10 11

<?php //on suppose qu'on est connecté à la base de données $id=(integer)($_GET['clef']); //si $_GET['clef'] n'est pas en entier alors $id vaut zéro ! if (empty($id)){ die('Va pirater un autre site'); } else { mysql_query("DELETE FROM MA_TABLE WHERE ID_TABLE=".$_GET['clef']); } ?>

---

:P merci pour tes ces infos, génial!!!

Mais j'ai oublié de préciser que bien entendu, je ne parlais pas des données qui étaient référencées dans d'autre table!!!

Citation:

---

Envoyé par nath-0-0

Mais j'ai oublié de préciser que bien entendu, je ne parlais pas des données qui étaient référencées dans d'autre table!!!

---

Je ne comprends pas. Enfin si il s'agit d'une table user, tu remplaces MA_TABLE dans mon code par user.

Pour les utilisateurs, sur mes sites, je ne les supprimes jamais. Je les bannis, je les désactive, ils disparaissent automatiquemnt de la liste de membres quand cela fait un an qu'ils ne sont pas venus. Mais JAMAIS je ne les supprime. Les informations concernant un utilisateur peuvent toujours servir (identifier les "multicomptes", et cela pour conserver les ips et heures de connexion en cas de piratage, etc...

ma remarque portait sur

Citation:

---

Cela dépend des tables. Pour les opérateurs d'un centre d'appel, je les rends inactifs, car je ne peux les supprimer puisqu'ils sont référencés dans la table qui gère les appels téléphoniques.

---

dans ce cas bien entendu, on ne peut pas supprimer...