GESTIONNAIRE D'UTILISATEURS POUR SITE WEB

Commentaire de DJ_BoOmEr le 30/04/2006 11:06:11

Bonjour a toi ScripTeurPermanent :). Bon En fait, je n'ait pas très bien compris l'utilité de ce ScripT ... c'est un script d'administration d'user ?

Commentaire de msdos1991 le 30/04/2006 11:43:13

Salut :)

Ta source plante chez moi sous PHP5 et MySQLi :/
Cependant, j'ai regardé le code et je pense que:
--> ton code pourrait être écrit plus proprement
--> pas besoin de mettre des commentaires à chaque ligne, surtout du style "pour les normes du HTML" en face d'un doctype
--> ta source n'est pas sécurisée du tout et génère une erreur SQL si le couple login/passe est faux
--> tu aurais pu le faire avec des opérateurs de bits ;)

Commentaire de spidermario le 30/04/2006 12:33:14

Justement, avec un config.php, tu n'es pas le seul à pouvoir faire
include('config.php');
En d'autres termes, n'importe qui qui connaît l'existence de ce fichier peut se connecter à ta base de données. Le script de ScripteurPermanent est donc plus sécurisé que le tien !

Commentaire de guicara le 30/04/2006 18:09:19

SpiderMario on peux empécher sa. En effet si tu protége ta page config.php par un htacess qui aura éffet que sur cette page c'est bon. On pourra inclure cette page sur le serveur, mais pas sur un autre serveur en entrant son url complete !

Commentaire de spidermario le 30/04/2006 19:38:52

Sauf que le chmod n'est pas compatible avec tous les serveurs :/

Commentaire de NicoWatt le 01/05/2006 10:04:34

Bonjour à tous,

en lisant les commentaires que vous avez déposés je me sens obligé d'intervenir.
en effet, ScripteurPermanent vous a proposé une source et vous êtes en train de le descendre.
je tiens à vous rappeler que c'est sa première source publique et qu'il disait être débutant dans le domaine. de plus vous semblez tous vous y connaître les uns plus que les autres enfin c'est plutôt ce que vous chercher à montrer.
Sincèrement vous devriez rester bien plus humble car tout ce que vous avez dit n'est pas parfaitement vrai !
Je m'explique:
- Quant à l'histoire de l'erreur SQL lorsque l'on ne remplit ni pw ni login, c'est vrai que c'est dommage, car une application qu'elle qu'elle soit doit toujours traiter toutes les erreurs possibles et imaginables (même si on est certain qu'elles n'apparaîtrons jamais). ScripteurPermanent va l'apprendre avec l'expérience.
- Quant à l'histoire des problèmes de sécurité dûs aux aspirateurs de site. Ceci est une vrai bêtise que de penser qu'un aspirateur peut télécharger un code PHP ! En effet, je vous rappelle que PHP est un language executé côté serveur qui parfois (et même très souvent) est à l'origine d'une page HTML. En fait PHP dans ce cas génére un code HTML en fonction des actions d'un utilisateur. Maintenant un aspirateur de site ne fait que lire les contenus générés par PHP, en clair c'est un navigateur autonome qui télécharge ce qu'il consulte et suit tous les liens de la page. Donc en aucun cas il ne pourra télécharger un code PHP.
- Quant au CHMOD, je répondrais que oui si vous voulez le passer en 700, c'est mieux, mais si le serveur web est bien configuré, ca ne changera rien.
- Quant à l'inclusion par un autre utilisateur du serveur Web. Il est faut de penser qu'un autre user de même serveur puisse faire un "include" ou un "require" du fichier car, chaque fichier (que ce soit sous unix ou sous windows) est rattaché à un utilisateur, donc les autres utilisateurs, même s'ils peuvent voir qu'il y a un fichier, ne peuvent rien en faire. Sauf si vous avez expressément donné les droits (par chmod).
- Quant à l'utilisation d'un .htaccess. C'est vrai que ce n'est pas inutile. (Je vous donne la syntaxe très simple: deny from all). Mais cela ne fera qu'empêcher l'accès par HTTP et comme je vous l'ai dit les fichiers PHP ne retourne que l'HTML généré et pas leur code source.

Je tiens à faire une remarque préventive: j'ai vu vraiment trop souvent des programmeurs (perso et pro) faire des fichiers config.inc !!! Attention !!! je vous recommende de ne JAMAIS faire cela, écrivez plutôt config.inc.php ou config.php. Pourquoi ? Parce que si Apache n'est pas configuré pour interprêter les fichier .inc, leur contenu peut être afficher comme un .txt par la méthode HTTP. Votre script PHP marchera, mais tous les codes d'accès seront accessibles !

J'ai lu le code source déposé, et c'est vrai qu'il n'est pas trés propre, ni bien écrit, mais vous avez tous commencé comme cela n'est-ce pas, je dis que c'est bien de tenter, c'est comme cela qu'on apprend.

J'oubliais de dire à DJ_BoOmEr que ce qu'il croit être une faille de sécurité n'en est pas une car que tu mettes les codes d'accès dans un fichier à inclure ou dans un autre ne change rien du tout !
La simple raison que nous avons de faire ça c'est que ça nous évite de réécrire les codes à chaque connexion! Comme ça pour la maintenance, le jour où on change de codes, et bien on les modifie que dans un seul fichier. L'idée que tu as est bonne, mais la raison n'est pas la bonne :)

J'éspère que vous ne prendrez pas mal ce que je vous dis là, ce n'est pas une engueulade ou une démonstration de quoi que ce soit, mais je tenais à réagir. J'aime beaucoup cette communauté et vous en faites parti. Je tiens donc à vous faire évoluer (comme d'autre l'on fait pour moi à mes débuts).

Sur ce je vous souhaite une excellente journée, et merci de m'avoir lu.
Si vous avez des questions, n'hésitez pas !

Amicalement,

NicoWatt

Commentaire de msdos1991 le 01/05/2006 10:23:36

+1

C'est vrai que mon commentaire a sans doute été un peu "sec" et je m'en excuse...

Un petit conseil: il vaut mieux écrire les noms des fichiers en minuscule sur le web, particulièrement ceux du style index ;-), toujours pour des raisons de réglage de serveur (DirectoryIndex plus précisément)

Enfin, petit message à l'intention de DJ_BoOmer et SpiderMario: avant de critiquer les autres de cette façon, suivez quelques cours de politesse et d'humilité (sans parler de l'orthographe).

"Il vaut mieux fermer sa gueule et paraître con plutôt que l'ouvrir et ne plus laisser aucun doute sur le sujet" :D

Commentaire de NicoWatt le 01/05/2006 10:35:16

Lol vous êtes drôles.
Il est clair que l'orthographe est importante, mais même si vous travaillez sur des languages, nous ne sommes pas profs de lettres !
Ca m'énerve de voir de grosses fautes, mais tout le monde en fait, non !
Allez continuez la conversation ...
Et bon 1er mai (si vous êtes en France car je ne sais pas si cela est férié dans les autres pays francophone)...

Commentaire de msdos1991 le 01/05/2006 11:17:26

"NicoWatt: Ca m'énerve de voir de grosses fautes, mais tout le monde en fait, non !"
>> Bien sur qu'on en fait, mais à ce niveau ça devient grave xD
"DJ_BoOmer:  Quand a mon orthogrgaphe je suis désolé, a titre d'inforamation pour ceux qui me désence, j'ai 16 ans et ça fait 1 ans seulement que j'ai un pc chez moi, et j'en sais beaucoup plus que certains inscrits sur ce site."
>> Et alors ? Perso j'ai 15 ans ;-)

...Et si on retournait à notre conversation de départ ?

Commentaire de DJ_BoOmEr le 01/05/2006 12:24:35

Je suis désolé, mais ce ne sont pas des fautes d'orthographe, ce sont seulements des fautes de frappes, banale, comme tout le monde peut faire ... Donc je suis désolé pour vous si ma présence vous importune, mais je vais pas quitter ce site pour autant.

Merci de votre compréhension.

Commentaire de NicoWatt le 01/05/2006 12:33:08

Sincèrement on s'en fou des fautes.
D'accord c'est mieux de pas en faire, mais c'est pas le sujet !
Tu ne m'importunes pas en ce qui me concerne !

Je vais manger... :)

Commentaire de msdos1991 le 01/05/2006 14:44:21

@ScripteurPermanent: "pouvez-vous juste me dire ce qu'il y a à améliorer?"
Quelques petites choses (rien de bien méchant ^^):
-- Indente ton code php et ton code xhtml (indépendamment bien sûr)
   Perso, j'utilise comme convention "2 espaces = une indentation"

-- Places une seule instruction par ligne, c'est tout de suite bcp plus clair pour les lecteurs futurs (toi inclus :D )

-- Testes l'égalité des valeurs ET des types dans tes conditions (avec l'opérateur === par exemple ou bien !==)

-- Mieux vaut un long commentaire de 3 lignes puis ton code plutôt que ton code avec des commentaires à la fin de chaque ligne ;-)

-- "NEVER trust user input", comme disait l'autre :D

Voili voilou, fais déjà ces changements et ton code gagnera en lisibilité et en efficacité :)

Commentaire de kankrelune le 02/05/2006 04:04:10

>> DJ_BoOmEr... il serait bien que tu reste humble face au remarques qui te sont faites... comme tu le dis toi même...

"16 ans et ça fait 1 ans seulement que j'ai un pc chez moi"

alors évite de croire que tu en sais plus que tout un chacun sur un language de programation tel que php... .. .

Comme le dit NicoWatt le fait de faire un fichier config.php ne corrige en aucun cas une faille de sécurité mais permet de mettre dans un seul fichier standard du code qui d'une part se retrouve dans tous les fichiers et d'autre part peut être changé à tout moment... .. .

>> msdos1991... "Testes l'égalité des valeurs ET des types dans tes conditions (avec l'opérateur === par exemple ou bien !==)"

Pas forcement... la comparaison typé n'est vraiment utile que quand tu n'est pas sûr du type de valeur d'une variable (par ex strpos qui peut retourner 0 ou false)... si tu est sur du type de la variable que tu manipule autant ne pas faire de comparaison typé c'est toujours ça de gagné en terme de temps d'éxécution... .. .

>> ScripteurPermanent... c'est une bonne initiative que de se lancer dans la réalisation d'un source bien que ce type de source soit déja largement représenté sur le site... .. .

je n'ais pas testé le code mais à vu de nez je dirais... .. .

index.php...

$_POST['pseudo'] != NULL

je mettrais plutot...

!empty($_POST['pseudo'])

...

mysql_connect("localhost", "root", "");
mysql_select_db("test");

comme l'a dit msdos1991 cette partie là n'est pas top car les erreurs de connection (qui ne sont pas dues uniquement à un mauvais couple login/pass) ne sont pas gérées... fais au moins...

mysql_connect('localhost', 'root', '') or die('Erreur de connection à la base de données');
mysql_select_db('test') or die('Erreur de connection à la base de données');

Il faut que tu travail tes bases en sql car la technique que tu utilise pour trouver l'utilisateur dans la base de données n'est pas du tout viable... tu prend tous les users et les passe en revue pour trouver le bon... sur une table contenant dix users ok mais imagine sur une table contenant 3000 membres tu te complique la vie alors que tu peux tout simplement faire...

$result = mysql_query('SELECT id,prenom,nom,adressemail,signature FROM tbl_utilisateur WHERE pseudo='.mysql_real_escape_string($_POST['pseudo']));

if(mysql_num_rows($result) == 0)
{
  // l'utilisateur n'existe pas
  $b_connexion = false;
}
else
{
   // l'utilisateur existe
   $b_connexion = true;
   $utilisateur = mysql_fetch_array($result);
   $utilisateur['pseudo'] = $_POST['pseudo'];
}

Sinon évite les echo à répétition... concatène les chaines à afficher et évite les doubles quotes si tu ne met pas de variables à interpréter à l'intérieur... ex...

echo "<p>Bonjour ";
echo $utilisateur['pseudo'];
echo ", bienvenue sur mon site !<br />";
echo "Sur mon site vous pourrez faire pleins de trucs, bla bla bla<br />";
echo "et même du légo, bla bla bla, remplissage<br />";

devient...

echo '<p>Bonjour '.$utilisateur['pseudo'].', bienvenue sur mon site !
<br />Sur mon site vous pourrez faire pleins de trucs, bla bla bla
<br />et même du légo, bla bla bla, remplissage<br />';

Fichier admin.php...

Pareil que pour l'index en ce qui concerne les echo... .. .

Fais une vérif sur le pseudo pour l'inscription de nouveaux utilisateurs afin que l'on ne puisse s'inscrire qu'une fois avec un pseudo (ce qui reglera par la même ta faille au niveau de l'admin)... .. .

évite les ... "SELECT * FROM $tbl WHERE ID='$ID'" fais plutot 'SELECT pseudod,prenom,nom,adressemail,signature FROM tbl_utilisateur WHERE ID=\''.$ID.'\''

Bilan...

Il pourrait etre interessant comme dit précédament de faire un fichier unique concernant la connection sql ça sera plus simple et plus facile à gérer... .. .

Il faudra que tu m'explique comment tu reconnait l'utilisateur une fois qu'il est logué... avec ton code si on change de page on doit se reloguer ce qui est plutot génant... interesse toi aux sessions pour palier à ce manque (tu trouvera sur ce site des sources d'espace membre utilisant les sessions pour imager tout ça)... .. .

Il serait bien de toujours controler (fonctions is_*) et filtrer (addslashes,strip_tags,htmlentities,mysql_real_escape_string...) les entrées utilisateurs (même en page d'admin)... ça permet d'éviter des mauvaises suprises... .. .

Il pourrait être interessant de se tourner vers la POO afin de standardiser des routines que l'on est suceptible d'utiliser sur tout le site... la programation object est à mon sens des plus adaptée pour ce genre de taches... mais c'est un avis perso et c'est loin d'être indispensable... .. .

Voili voilou ce que je peut en dire sans avoir regardé en profondeur... bien qu'il y ai pleins de petites erreurs, ce qui est normal quand on débute, le fond est pas trop mal codé... c'est plutot bien pour un début... .. .

@ tchaOo°

Commentaire de DJ_BoOmEr le 02/05/2006 18:00:12

KANKRELUNE ... stp avant de parler sur mon compte, lis un peu plu haut ... et je ne dit pas que je suis caler sur le php (car ce n'est pas vraiment le cas) je me défend juste quand on me rabaisse ... car je suis habituer voit-tu, a cotoyer un type d'informaticien, assez imbus de sa personne, et qui donc rabaisse les autres sans cesse ... et donc quand des personnes se croyent au dessus de tout le monde, je leur dit simplement que je suis pas aussi une m**** qu'ils osent prétendre ...

Quand a ce que je disais a ScripteurPermanent sur le truc d'Amin, éffectivement tu peut mettre un CHMOD 700 rien que sur ça page ...

Enfin bon ... c'est mon avis

Commentaire de DJ_BoOmEr le 02/05/2006 18:27:02

Arf éffectivement si l'user veut se connecter au site, pour s'identifier, ça posera probleme .... lol très bonne remarque ..

Commentaire de kankrelune le 04/05/2006 18:12:02

Et bien c'est simple... il ne faut jamais faire confiance aux données soumise directement (ex : formulaire, url) ou indirectement (ex : cookie) par l'internaute... de ce fait il faut tester la nature des données soumises ( is_numeric, is_string...) et filtrer (addslashes,strip_tags,htmlentities,mysql_real_escape_string...) de façon à enlever d'éventuels codes malveillants... .. . ;o)

@ tchaOo°

Commentaire de titanserver le 20/09/2006 13:19:15

Salut ScripteurPermanent,

Je voulais juste te dire bravo pour ton script, il est assez explicite et fonctionne bien.

Donc merci.

Commentaire de spacecro le 01/12/2006 11:26:36

salut tout le monde.
je me suis amusé à lire tout vos commentaires.
franchement sa me fais délirer des fois comment vous parlez.
a titre info,pour se qu'ils veulent vraiment faire des codes sources,il y existe des bahu expret.
c'est pas une honte d'y aller.j'ai 25 ans et je fais des études en developpement de logiciels.
quand vous dites que vous etes la pour vous aider,je dirai plutot que vous etes entrain de vous démonter.
bon.c'est tout se que j'avais à dire.je vais pas aider sur se que vous faites parce que je suis au niveau de développement de service d'exploitation.(style windows ou linux).
mais un conseil,pour vos codes sources.je sais pas si vous faites sa à la va vite sur votre pc,mais avant de faire sa,prennez une feuille et un stylo et grater sur papier la structure de votre code.
sa ira mieux.
donc voila.
peut etre à une prochaine.mais j'en doute parce que je suis simplement de passage sur se site.
bye et bon courage pour le reste.

Commentaire de Ours70 le 23/04/2007 17:44:53

Salut ce scrip ma l'air supper

mais est ce que l'admin peut ajouter des membres mais leur definir un staut : modo visiteur , client, fournisseur ou autres se sont des exemples !!!

Merci

Commentaire de Ours70 le 23/04/2007 17:55:56

Salut ce scrip ma l'air supper

mais est ce que l'admin peut ajouter des membres mais leur definir un staut : modo visiteur , client, fournisseur ou autres se sont des exemples !!!

Merci