Ma page est-elle sécurisée ?

Version imprimable

Bonjour,

voila, je fais un forum, et je propose aux membrex de modifier leurs messages (fonctionnalité classique d'un forum).. et j'ai besoin de savoir si ma page est bien sécurisée et par la même occasion de connaitre vos avis sur mon code :D :

Code:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
<?php
require '../../inc/functions.php';
logged_only();
require_once '../../inc/db.php';
 
$idmsg = (int) $_GET['idmsg'];
$user_id = $_SESSION['auth']->id;
 
// Récupération du message
$reponse = $pdo->prepare('SELECT idmsg, idsujet, message FROM forum_messages WHERE idmsg = ? AND idmbr = ?');
$reponse->execute(array($idmsg, $user_id));
$donnees = $reponse->fetch();
if (!$donnees){
    $_SESSION['flash']['danger'] = 'Ce message n\'existe pas';
    header('Location: /membres/forum/index.php');
    exit();
}
 
if (!empty($_POST)) {
 
    if (empty($_POST['message'])) {
        $_SESSION['flash']['danger'] = 'Votre message est trop court';
    }
 
    if (!isset($_SESSION['flash'])) {
        $pdo->prepare('UPDATE forum_messages SET message = ? WHERE idmsg = ? AND idmbr = ?')->execute([$_POST['message'], $idmsg, $user_id]);
        $_SESSION['flash']['success'] = 'Votre message a bien été modifié';
        header('Location: sujet.php?idsujet='.$donnees->idsujet.'');
        exit();
    }
}
 
require '../../inc/header.php';
?>
    <h1>Modifier mon message</h1>
 
    <form action="" method="POST">
        <div class="form-group">
            <label for="message">Votre message</label>
            <textarea name="message" class="form-control" id="message" rows="6"><?= empty($_POST['message']) ? ''.$donnees->message.'' : htmlspecialchars($_POST['message'], ENT_QUOTES); ?></textarea>
        </div>
        <button type="submit" class="btn btn-primary">Modifier</button>
    </form>
 
<?php require '../../inc/footer.php'; ?>

merci à vous.

23/06/2016, 14h45
JujuPomme

Bonjour,

A partir du moment ou tu fais du PDO... Pourquoi elle le serait pas?

C'est plus tes formulaires qu'il faut vérifier, mieux vaut deux fois qu'une !
23/06/2016, 20h50
bndd24

Citation:

Envoyé par JujuPomme

C'est plus tes formulaires qu'il faut vérifier, mieux vaut deux fois qu'une !

C'est à dire ? ce n'est pas le cas actuellement au niveau du formulaire ?
23/06/2016, 22h00
sabotage

Petit raccourci :

Code:

if (!$donnees = $reponse->fetch()) {

Sabotage : Fait ! Je viens de raccourcir de cette façon :

Code:

1
2
3
4
5
6
<?php
// Récupération du salon
$reponse = $pdo->prepare('SELECT idsalon, titre FROM forum_salons WHERE idsalon = ?');
$donnees = $reponse->execute(array($idsalon));
if (!$donnees = $reponse->fetch()) { header('Location: /membres/forum/index.php'); exit(); }
?>

tu vois une autre façon de le raccourcir encore ? :mrgreen:

25/06/2016, 23h37
sabotage

Il ne faut pas abuser des raccourcis ;)
26/06/2016, 00h27
bndd24

ok :ptdr:

par contre question pertinente : est-ce obligatoire de faire une requête préparé ici ? :weird: Car je sécurise déjà la variable GET idsalon par un :

Code:

$idsujet = (int) $_GET['idsujet'];

cette ligne transforme la variable idsujet par un "0" en cas de variable malveillante !
26/06/2016, 00h59
sabotage

Le (int) est suffisant.
26/06/2016, 08h08
Invité

Par contre, je suis partisan de toujours préparer une requête dès lors qu'il y a des variables...

Car il n'est pas exclus que tu oublies, dans un futur code, de préciser (int)...