Sécurité...

agilis

Coucou!

Etant donné que je suis amateur en php, j'aimerais trouver un bon tuto pour sécuriser mes scripts... Et pour savoir les endroit sensible,...(à part les formulaires) et surtout comment procéder pour n'avoir aucune chance de se faire pirater. Merci d'avance.

ciao

albert

Les seuls points sensible sont l'intéraction avec les formulaires.
Voici quelques conseils :
* Ne pas utiliser les varables globales
* Limiter ou vérifier le contenu d'une chaine écrite par un utilisateur et utilisée dans un script possible d'être endommageante.
* Ne pas utiliser eval avec des chaines externes.

Si il y a des comptes avec mdp sur ton site:
* Toujours vérifier que l'utilisateur est bien cet utilisateur là (avec des données fixes et sûres).

...
Voila, il y en à d'autres encore, j'espère que d'autres que moi complêtront ce post.

agilis

ok je vais faire attention principalement au formulaire alors.
Par exemple pour se logguer, j'utilise un formulaire deux champs, et pour vérifier si c'est bon j'utilise une requete mysql. Comment vérifier que la chaine est bonne? en autorisant seulement certains caractère?

albert

Déja, pour l'inscription, vérifie qu'il ne met pas de caractères spéciaux ni d'espaces. Pareil pour se connecter.

Bzh

Evite aussi au maximum les cookies !!!!

Ils ne sont pas fiables et très facile à modifier...

Protèges surtout tes requèttes !!!! C' est l' endroit le plus ouvert aux attaques...

Ciao...

agilis

ok, je n'utilise pas les cookies pour le moment. (J'y pense par exemple pour le design... Donc sans risque.) Comment protéger mes requetes? Et comment limiter à certains caractères?

Merci!

XTremTourist

pour les formulaire fait une double validation du submit
genre ta une variable ki passe a 1 si le mec a bien appuier sur le bouton submit et avant de lancer le traitement tu verifi ke submit et bien declarer et ke ta second variable et bien a 1

mobman02

enfin pour proteger tes requetes, ya les magic quotes, mais, pense a toujour faire un addslashes pour eviter d'avoir des bug si l'utilisateur met des ' dans sa saisie.

De plus, je te conseille de faire un htmlspecialchar avant d'entrer tout texte dans ta BDD, comme cela, au moment ou tu affichera le texte, si il y a des < et des > il ne seront pas executé.

bibi

htmlentities est plus appropriée je trouve

mojorisin

Va lire ça :
http://phpsec.org/

C'est en anglais par contre :o)