Article intéressant concernant GET et POST

bonsoir,

Aujourd'hui j'ai lu un article très intéressant sur le POST-GET (il vaut mieux télécharger car l'image est très grande).

- http://img266.imageshack.us/img266/4159/1rp4.jpg

- http://img180.imageshack.us/img180/2671/2zx7.jpg

J'ai trouver cet article intéressant parce qu'étant jeune programmeur, il m'a permi d'apprendre qqch.
D'une part la vrai différence entre GET et POST, pas la version qu'on nous apprenais à l'université.

Mais le point qui m'a le plus suppris mais avec lequel je suis d'accord maintenant, c'est lorsqu'il parle des "liens" et "input".
Que lorsqu'il y a du traitement côté serveur il faut utiliser les input (donc post) et pour de l'affichage de contenu utiliser les liens (get).

Hors dans mon entreprise, ça ne choque personne quand je fais une fonctionnalité de suppression par l'intermédiaire d'un lien "supprimer" en passant l'id de mon objet à supprimer.

Ce genre d'article m'intéresse énormément, car j'aime bien faire du travail propre, donc si vous avez quelques articles du même genre pour faire des applications web propre, ou même concernant la construction d'application web en générale vous me feriez plaisir :D

Salut,

l'article provient d'où ?

Merci.

d'un bouquin qui traite d'ajax (ajax par la pratique)

C'est intéressant, mais de toute façon, au-delà de la philosophie des méthodes GET et POST, le fait de passer des informations sensibles dans une requête GET est une aberration : toute personne regardant par-dessus votre épaule la verra en clair. Ca peut se masquer avec un header(Location: www.adresse.net) cependant.

Je crois que j'ai quelques lacunes au niveau sécurité et transmission des données. A l'université, c'est un point qui n'est pas du tout traité.

n'y a t-il pas des articles qui traitent des conventions (session, passage de variable ...)

Salut

En effet, nous sommes en train de préparer quelque chose sur la sécurité en PHP. Merci de patienter quelque temps.
En attendant, il me semble avoir évoqué tout ce dont tu parles ici :
http://g-rossolini.developpez.com/tu...aires-et-php5/

Les deux méthodes sont aussi peu sûres l'une que l'autre.

Avec la méthode POST, on se berce de la douce illusion que, puisque les champs sensibles n'apparaissent pas dans l'url, on est à l'abri. Loin s'en faut.

Tout passe en clair. N'importe quel analyseur de trame peut facilement capturer tous les champs d'un formulaire POST.

Voici un bête formulaire de deux champs:

Code:

---

1 2 3 4 5

<form method="POST" action="aaa.php"> <input type="text" name="nom" /><br /> <input type="password" name="pass" /><br /> <input type="submit" value="Envoyer" /> </form>

---

Voici les trames (facilement) capturées (ici par tcpdump):


POST /test/aaa.php HTTP/1.1
User-Agent: Opera/9.01
Host: debian
Accept: text/html, application/xml;q=0.9, application/xhtml+xml, image/png, image/jpeg, image/gif, image/x-xbitmap, */*1
Accept-Language: fr,fr-BE;q=0.9,en;q=0.8
Accept-Charset: iso-8859-1, utf-8, utf-16, *;q=0.1
Accept-Encoding: deflate, gzip, x-gzip, identity, *;q=0
Referer: http://debian/test/test.php
Connection: Keep-Alive, TE
TE: deflate, gzip, chunked, identity, trailers
Content-Length: 215
Content-Type: multipart/form-data; boundary=----------I1w1EgLcZsSZT5bxg4igvI
------------I1w1EgLcZsSZT5bxg4igvI
Content-Disposition: form-data; name="nom"
moi
------------I1w1EgLcZsSZT5bxg4igvI
Content-Disposition: form-data; name="pass"
hello
-----------I1w1EgLcZsSZT5bxg4igvI--


Si, vraiment, c'est la sécurité qui compte --> SSL

Ripat : Il s'agissait ici moins de sécurité que d'éviter qu'un spider n'utilise ta session pour cliquer comme un frénétique sur des liens (des ancres HTML, pas des formulaires) et que ces chargements de pages n'effectuent des modifications en BDD. Lis l'article fourni plus haut.

Citation:

---

Envoyé par ripat

Les deux méthodes sont aussi peu sûres l'une que l'autre.

Avec la méthode POST, on se berce de la douce illusion que, puisque les champs sensibles n'apparaissent pas dans l'url, on est à l'abri. Loin s'en faut.

Tout passe en clair. N'importe quel analyseur de trame peut facilement capturer tous les champs d'un formulaire POST.

Voici un bête formulaire de deux champs:

Code:

---

1 2 3 4 5

<form method="POST" action="aaa.php"> <input type="text" name="nom" /><br /> <input type="password" name="pass" /><br /> <input type="submit" value="Envoyer" /> </form>

---

Voici les trames (facilement) capturées (ici par tcpdump):


POST /test/aaa.php HTTP/1.1
User-Agent: Opera/9.01
Host: debian
Accept: text/html, application/xml;q=0.9, application/xhtml+xml, image/png, image/jpeg, image/gif, image/x-xbitmap, */*1
Accept-Language: fr,fr-BE;q=0.9,en;q=0.8
Accept-Charset: iso-8859-1, utf-8, utf-16, *;q=0.1
Accept-Encoding: deflate, gzip, x-gzip, identity, *;q=0
Referer: http://debian/test/test.php
Connection: Keep-Alive, TE
TE: deflate, gzip, chunked, identity, trailers
Content-Length: 215
Content-Type: multipart/form-data; boundary=----------I1w1EgLcZsSZT5bxg4igvI
------------I1w1EgLcZsSZT5bxg4igvI
Content-Disposition: form-data; name="nom"
moi
------------I1w1EgLcZsSZT5bxg4igvI
Content-Disposition: form-data; name="pass"
hello
-----------I1w1EgLcZsSZT5bxg4igvI--


Si, vraiment, c'est la sécurité qui compte --> SSL

---

Parfaitement d'accord avec toi. Ne serait-ce que lire le code source HTML révèle des informations précieuses. Moin il y a d'information qui mieux s'est.
J'ai remarqué que les sites n'étais pas sécurisé parce que c'est assez barbant de blinder le systeme. Personne n'y voit l'interet tant qu'ils ne se fait pas attaquer. Pourquoi attendre?

Citation:

---

Envoyé par cronos6

Hors dans mon entreprise, ça ne choque personne quand je fais une fonctionnalité de suppression par l'intermédiaire d'un lien "supprimer" en passant l'id de mon objet à supprimer.

---

Je sais maintenant pourquoi j'utilisai des liens pour mes suppressions :

il s'agissait de suppression d'alias, donc dans mon formulaire, j'avais une liste d'alias et pour chaque occurence un lien "supprimer". Il fallait que chaque occurence possède son bon id, ce que je n'aurais pas pu faire avec des boutons. La seul solution que j'ai trouvé pour faire cela avec des boutons, c'est de placer un formulaire autour de chaque occurence, ainsi le bon id passerai dans le Request.
Mais ceci n'est pas possible puis que j'ai déjà un formulaire générale et on ne peut pas imbriquer les formulaires.
Donc je pense que dans ce cas là, on est obligé d'utiliser des liens.

ps : Si vous me prouviez le contraire, ça me ferait plaisir comme ça, ça m'évitérai les liens.

une check box devan chaque alias tu coche toute le soccurence ke tu veu supprimer et uns eul bouton supprimer ;)