[Système] Fonction eval mal codée

Version imprimable

Bonjour,

j'utilise la fonction eva() trouvée dans le manuel mais j'ai un peu des problèmes de syntaxe. Je fais ceci :

Code:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
$coupon_cond = $_SESSION['coupon_cond'];
				$coupon_rabais = $_SESSION['coupon_rabais'];
				$test_total = 0;
 
				$total_fac = $order_total_display;
 
				$str = 'if ($coupon_cond){{total} - $coupon_rabais;}';
				echo $str;
 
				echo ("<br/><br/>");
 
				eval( "\$str = \"$str\";" );
 
				$total_str = "{total}";
 
				$str = str_replace($total_str, $total_fac, $str);
 
 
				echo $str;

Et mon navigateur affiche ceci :

Citation:

if ($coupon_cond){{total} - $coupon_rabais;}

if (354.00 > 200){354.00 - 100;}

conditions: {total} > 200

cependant j'aimerais rajouter une variante :

Code:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
				$coupon_cond = $_SESSION['coupon_cond'];
				$coupon_rabais = $_SESSION['coupon_rabais'];
				$test_total = 0;
 
				$total_fac = $order_total_display;
 
				$str = 'if ($coupon_cond){$test_total = {total} - $coupon_rabais;}';
				echo $str;
 
				echo ("<br/><br/>");
 
				eval( "\$str = \"$str\";" );
 
				$total_str = "{total}";
 
				$str = str_replace($total_str, $total_fac, $str);
 
 
				echo $str;

mais j'ai une erreur :

Citation:

Parse error: parse error, unexpected '=', expecting '}' in ....

Comment dois-je modifier ma fonction eval() pour ne plus avoir ce problème ?

02/02/2007, 09h33
Yoteco

Salut,

C'est vraiment déconseillé d'utiliser eval() et dans ton cas je ne sais pas si c'est inévitable. Tu peux pas faire autrement?
02/02/2007, 09h40
Dsphinx

Justement je ne sais ! J'ai vu pas mal de truc sur la sécurité avec eval(); mais je ne sais pas si je peux utiliser une autre fonction... Bref j'aimerais savoir comment faire pour résoudre mon problème... Comment faire pour effectuer une opération x = a - b; dans ma fonction eval ?

Merci !

Moi je comprend pas POURQUOI tu veux utiliser eval() ne peut tu pas faire comme ça ?

Code:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
$coupon_cond = $_SESSION['coupon_cond'];
$coupon_rabais = $_SESSION['coupon_rabais'];
$test_total = 0;
                
$total_fac = $order_total_display;
 
$str = 'if ($coupon_cond){{total} - $coupon_rabais;}';
echo $str;
                
echo ("<br/><br/>");
                
if($coupon_cond)
{
    {total} - $coupon_rabais;
}
                
$total_str = "{total}";
                    
$str = str_replace($total_str, $total_fac, $str);
 
                
echo $str;

02/02/2007, 10h08
Dsphinx

car les informations contenues dans mes variables ({total} > 300)sont stocké dans une base de données !
02/02/2007, 10h11
spawntux

Et si tu mùet un == dans ton if ??
02/02/2007, 10h51
mathieu

Citation:

Envoyé par Dsphinx

car les informations contenues dans mes variables ({total} > 300)sont stocké dans une base de données !

et tu utilises ce calcul à quel moment ?
comme le disait Yoteco c'est ultra super déconseillé d'utiliser "eval" donc si tu nous donnes plus de détails on peut t'aider à le faire d'une autre façon

J'ai deux champs dans ma base de données : conditions qui contient "{total} > 300" et rabais qui contient "100". "{total} > 300" sera écrit par les utilisateurs qui vont dire tiens la conditions est si le total est plus grand que 200, on lui accorde un rabais de 100.- ! Je reprend ces valeurs et j'aimerais les mettre dans un if et pour voir changer {total} pour la valeur $order_total_display; ensuite j'aimerais pouvoir si {total} est egal 354.- lui faire le rabais de 100.- et ma variable $test_total afficherai 254.- !

Merci de votre aide !

Voici la dernière version de mon code:
Code:

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 $coupon_cond = $_SESSION['coupon_cond']; $coupon_rabais = $_SESSION['coupon_rabais']; $test_total = 0; $total_fac = $order_total_display; $str = ' if ($coupon_cond) { $test_total = {total} - $coupon_rabais; };'; echo $str; echo (" "); $total_str = "{total}"; $str = str_replace($total_str, $total_fac, $str); eval( "\$str = \"$str\";" ); echo $str;
et cela donne ceci :

Citation:

if ($coupon_cond) { $test_total = {total} - $coupon_rabais; };

if ({total} > 200) { 0 = 354.00 - 100; };

conditions: {total} > 200

02/02/2007, 14h19
Dsphinx
j'ai fais un autre test :
Code:

1 2 3 4 5 6 7 8 if( eval( "\$str = \"$str\";") ) { echo ("bla bla"); } else { echo ("bli bli"); };
en sachant que $str contient : 325.00 > 200 il m'affiche à l'écran bli bli !!! Ce n'est pas juste car si 325 est plus grand que 200 on affiche bla bla ??? Je n'y comprend plus rien... lol est-ce que la fonction eval n'est pas reconnue ???

Merci de m'aidé un ptit coup ! :cry: Est-ce que la ligne est juste : if( eval( "\$str = \"$str\";") ) ???
02/02/2007, 22h50
mathieu

quel sont les différentes conditions que peuvent mettre les utilisateurs ?

oh ! je viens de voir un gros problème de sécurité : un visiteur peut mettre du code qui envoie un e-mail avec les codes d'accès à la base de données ou bien le contenu complet de la base de données par exemple
05/02/2007, 07h12
Dsphinx

oui je sais ce n'est pas encore sécurisé ! (je vais le faire) Il peut mettre plusieurs conditions mais toutes n'ont pas été définies et avant de faire les autres conditions j'essaie avec une...

Merci ! :cry:
05/02/2007, 12h19
mathieu

tu as oublié ma 1re question

Citation:

Envoyé par mathieu

quel sont les différentes conditions que peuvent mettre les utilisateurs ?
05/02/2007, 13h54
Dsphinx

Voici les conditiosn "{total} > X" {total} sera changé par le montant total et X sera la valeur que choisiras l'utilisateur. {catogerie} == X {categorie} est la rubrique dans laquelle le client a passé commande et X est choisi par l'utilisateur. Y en a encore d'autre mais elle ne sont pas définies !

Merci !
05/02/2007, 14h10
mathieu

Citation:

Envoyé par Dsphinx

Y en a encore d'autre mais elle ne sont pas définies !

il faut que tu fasses la liste avant de continuer parce que tu ne peux pas exécuter du code PHP fournis par le visiteur avec eval, il pourra exécuter n'importe quel code
05/02/2007, 14h13
Dsphinx

C'est juste ! Mais ce n'est pas le visiteur qui choisira ces conditions c'est un administrateur (une personne de confiance) ! Donc pas de soucis du point de vue de la sécu ;-)
07/02/2007, 07h21
Dsphinx

Par ailleurs j'aimerais bien savoir pourquoi, si l'utilisateur ne peut poster ($_POST) dans la fonction eval(), cela est dangereux ? Je ne comprend pas... et je n'ai non plus pas envie d'offrir aux hackers la chance d'avoir une faille facile...

merci !

Citation:

Envoyé par Dsphinx

C'est juste ! Mais ce n'est pas le visiteur qui choisira ces conditions c'est un administrateur (une personne de confiance) ! Donc pas de soucis du point de vue de la sécu ;-)

ah ok donc ça peut être bon
en donnant la possibilité à une personne d'exécuter du code dans la fonction "eval" tu lui donnes accès à tous le système donc ça veut dire que même si tu essayes de sécuriser la chose l'administrateur aura les même possibilités que s'il avait un accès FTP aux fichiers, il pourras modifier les fichiers, accéder aux bases de données, etc.

Si cela ne te pose pas de problème on peut passer à la résolution de ton problème maintenant.
je te propose ce code là :
Code:

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 $coupon_cond = $_SESSION['coupon_cond']; $coupon_rabais = $_SESSION['coupon_rabais']; // attention je ne sais pas d'où vient cette valeur $total_fac = $order_total_display; eval("\$resultatCondition = ($coupon_cond);"); if ($resultatCondition) { $test_total = $total_fac - $coupon_rabais; } else { $test_total = $total_fac; } echo "Condition : $coupon_cond "; echo "Resultat : $resultatCondition "; echo "total_fac : $total_fac "; echo "coupon_rabais : $coupon_rabais "; echo "test_total : $test_total ";

07/02/2007, 11h25
Dsphinx
Okay merci ! ca fonctionne !

Cependant mnt je fais ceci :
Code:

1 2 3 4 5 6 7 8 9 10 eval (" if(\$str) { \$codi = \"La condition est validée\"; } "); echo $codi;
sachant que $str est égal à 200 > 500 il m'affiche que la conditon est validée alors que c'est faux !!! Je ne comprend plus rien !

:arf:
07/02/2007, 16h25
mathieu

Citation:

Envoyé par Dsphinx

Cependant mnt je fais ceci :

pourquoi tu ne gardes pas le code que je t'ai proposé ? mets le moins de chose possible dans le "eval" ça te permettra de garder un code plus claire.
je pense que tu peux garder le "if" en dehors du "eval" non ?
07/02/2007, 16h35
Dsphinx
Merci du conseil je vais essayer de mettre mon if hors du eval mais j'ai des erreurs de parse error... Enfin lorsque je disais "Mnt je fais ceci" c'était pour dire que j'essayais de faire cela et que je voulais moi aussi comprendre comment codée cette fonction. C'est pour ça que je me suis inspiré de ton code mais j'ai aussi envie de faire des essais de manipulation pour trouver la structure la plus optimale ! Merci bcp je vais essayer comme tu dis... De ce fait je dois faire ceci :
Code:

1 2 3 4 if(eval ("\$str")) { $codi = "La condition est validée"; }
mais le serveur me répond : Parse error: parse error, unexpected T_STRING
08/02/2007, 07h28
Dsphinx

Merci Mathieu ca marche j'ai ajusté mon script au tien et c'est OK !!! Nickel !!! Youhouhou ! Big up ! Merci ! Lalalalalalalilalalila (hermes house band mais je comprends qu'on ne reconnaisse pas facilement !) Merci de ton aide !

:lahola: