JBLOG 1.0

Commentaire de coucou747 le 19/04/2006 13:37:51 administrateur CS

commentaires classiques :
<?
doit être remplacé par <?php pour ne pas confondre avec des xml...
trop de " à mon gout, surtout quand on peut les remplacer facilement par des '...
<?
mysql_close($link);
?>

mettre ça à la fin, c'est pas un bon choix... on doit le mettre après la dèrnière requette... et ne pas ouvrire de balises php pour ça... surtout pas des short tags...

fichier commentaires/index.php
  $sql2=mysql_query("SELECT COUNT(*) AS nb_msg FROM guestbook WHERE id_post ='$_GET[id]' ") or die("Query1 failed");
tu es sensible à une injection sql... tu n'as fait aucune vérification sur ton id, et tu n'as pas de guillemets, donc, même avec des paramètres corectes, on peut exécuter des choses pas tout à fait corectes...

<center>
...
<table cellspacing="0" cellpadding="0"  width="500px" class="form">
<tr align="center">

en xhtml, ça passe mal...

Commentaire de julio1801 le 19/04/2006 20:32:28

Voila, bug corrigé !
Les améliorations viendront avec les versions supérieurs.

Commentaire de julio1801 le 20/04/2006 18:15:51

- correction des bug de sécurité (injection SQL)
- correction diverse

Pour le reste; ce sera dans la version 1.1

J'avais ce code en "expert" car je penser y intégrer la technologie AJAX ... que j'utiliserai dès la version 1.1 de JBlog. (j'ai donc descendu en intermédiaire)

Commentaire de coucou747 le 20/04/2006 18:46:51 administrateur CS

mais c'est pas vrai... pour que ton code soit corect, faut que je me tapes la lecture de tout tes fichiers ???
form.php il reste un <? et une injection sql sur $nom !

             $query="INSERT INTO `guestbook` (`date` , `name` , `email` , `COMMENT` , `id_post` )  VALUES  ('$date', '$nom', '$mail', '$message','$idpost')";
[...]
     quote_smart($_POST['idpost']);
     quote_smart($_POST['msg']);
     quote_smart($_POST['nom']);
     quote_smart($_POST['mail']);

bah oui, faire la vérification ensuite, c'est trop tard !

fichier : /infos.php
         $query="SELECT * FROM perso";
         $result=mysql_query($query) or die(mysql_error());
         while($val=mysql_fetch_assoc($result))
         {
                $nom = $val["nom"];
                $prenom = $val["prenom"];
                $age = $val["age"];
                $job = $val["job"];
                $descr = $val["descr"];
         }
tu penses pas que faire une boucle pour récupérer seulement 5 variables c'est trop ? tu pourrais pas au moins ajouter un LIMIT... au mieux ajouter autre chose pour prendre directement le dèrnier...
plus loin :
<?
mysql_close($link);
?>
bref, t'as tennu compte de mes commentaires seulement pour des fichiers isolés...

Commentaire de coucou747 le 03/06/2006 14:20:38 administrateur CS

ça reste un code crade et pas sécurisé...

Commentaire de coucou747 le 08/06/2006 13:42:19 administrateur CS

ça fait 10 piges que j'essai de lui expliquer comment sécuriser son code, et comment faire en sorte que si il dépasse les 10 000 messages, ça ne rame pas... et il n'en fait rien...

Commentaire de coucou747 le 12/08/2006 17:56:24 administrateur CS

bah oui t'as de l'espoir, et tu veux quoi aussi ??? que je te fasse un joli cheque et que je t'offre une voiture ??? mais j'ai pas que ça à faire moi ! je ne vais pas terminer les projets des autres alors que les miens sont encore en chantier !

Commentaire de coucou747 le 12/08/2006 20:06:52 administrateur CS

... t'as lu mes codes sources ??? y trouve t'on une autre signature que la mienne ? NON ! j'ai toujours bossé seul, sauf pour des projets qui sont tombés à l'eau...

Commentaire de coucou747 le 13/08/2006 01:10:34 administrateur CS

ma vie ne te regarde pas, je suis réaliste sur l'état de ce projet... quand tu écris dans un blog, tu n'aimes pas tout perdre parcequ'un programmeur a laissé des failles...
pour mon site :
http://coucou747.hopto.org

Commentaire de asdr le 24/11/2006 02:02:18

yep bô boulot...ressemble bocoup à WordPress...mais je préfère le tient, parce qu'il est en français, et qu'il est plus complet!

Commentaire de asdr le 26/11/2006 03:34:32

oh j'ai parlé trop vite!(et tout seul!)...j'ai trouvé mon prb!!