MINI CHAT

Commentaire de amezghal le 21/12/2006 13:49:06

c trop basique, et trop lent,pense a utiliser AJAX.
- il ne faut po vérifier l'existence du pseudo chaque fois sa ralenti, pense aussi a voire les exemples existent dejà sur le site , yona qui sont tres complets.
allez bon prog

Commentaire de kankrelune le 21/12/2006 15:07:02

Hello... .. .

Bon ton code marche... ok... cependant comme tu t'en doute il y a beaucoups à dire... .. .

Tout d'abord ce script présente des failles que dis je des gouffres de sécurité... une belle faille à la sql injection... .. .

mysql_query("INSERT INTO minichat VALUES('', '$pseudo', '$message')");

Avec ça tu risque de te faire plomber ta base de données...

Et une belle faille xss permanente...

echo $donnee['pseudo'];?><? echo ">>>>";?><? echo $donnee['message'];

avec ça tu risque d'avoir des insertions défigurant ton site (au mieux) ou volant/réécrivant les cookies de ton site ou faisant une redirection sur un autre site... .. .

Donc dans l'ordre... .. .

déja met <?php et non pas <? ton code n'en sera que plus portable (compatible)... ensuite tu ouvre et referme 2 fois ta connection à mysql... c'est inutile et consome des resources pour rien... tu ouvre la connection tout au début du script et la ferme quand tu as finis tes requetes... .. .


if (isset($_POST['pseudo']) AND isset($_POST['message']))

Il serait bien de vérifier si un message est envoyé... non ? ça évitera les messages vides... donc...

if(isset($_POST['pseudo']) && !empty($_POST['pseudo']) && isset($_POST['message']) && !empty($_POST['message']))

Mais comme il serait bien d'éviter les message avec un espace dedans autant instancier $pseudo et $message avant... donc...

if(isset($_POST['pseudo']))
    $pseudo = trim($_POST['pseudo']);
        else
            $pseudo = '';

if(isset($_POST['message']))
    $message = trim($_POST['message']);
        else
            $message = '';

if(!empty($pseudo) && !empty($message))

voila qui est mieux... ensuite...

mysql_query("INSERT INTO minichat VALUES('', '$pseudo', '$message')");

alors ça c'est pas beau et c'est dangereux... il ne faut JAMAIS faire confiance aux données soumises par l'internaute et toujours les traiter comme des données potentiellement dangereuses... .. .

mysql_query('INSERT INTO minichat VALUES(\'\', \''.mysql_real_escape_string($pseudo).'\', \''.mysql_real_escape_string($message).'\')');

Au passage ton champs id ne sert strictement à rien vu que tu ne fera jamais de "SELECT ... WHERE id=valeur"... .. .

?>
<?

Ca non plus ça sert à rien... .. .

$data = mysql_query("SELECT * FROM minichat ORDER BY ID DESC LIMIT 0, 10")

Il ne faut pas faire de select * quand tu connais les champs à récupérer... c'est une perte de temps et de performances... donc...

$data = mysql_query('SELECT pseudo,message FROM minichat ORDER BY ID DESC LIMIT 0, 10')

Ensuite...

while ($donnee = mysql_fetch_array($data))

Et si ton tableau est vide ? ta boucle s'arrete... donc...

while(false !== ($donnee = mysql_fetch_array($data)))

Ensuite...

<? echo $donnee['pseudo'];?><? echo ">>>>";?><? echo $donnee['message'];  ?>

Bon je ne vais pas revenir sur le ?><?... tes echo multiple sont inutile et tu risque une attaque xss à afficher les données en brut sans les traiter... qu'est ce qui se passe si je poste du html et/ou du javascript ? donc...

<?php echo htmlentities($donnee['pseudo']).' a dit : '.htmlentities($donnee['message']);  ?>

<? // on verifi si la variable $pseudo existe
if (isset($pseudo)) { echo $pseudo;// si oui on affiche le pseudo a la place du champ text
}
else // sinon on affiche le champ texte
{?> </span><input name="pseudo" type="text" ><? }?>

Ca c'est pas con du tout mais j'aimerais bien savoir comment tu fais pour récupérer le pseudo à partir du second post... .. ?

<?php

if(!empty($pseudo))
    echo '<input type="hidden" name="pseudo" value="'.htmlentities($pseudo).'" />';
        else
            echo '<input name="pseudo" type="text" />';

?>

ton code n'est surement pas valide XHTML car les balise non refermées (br, input,etc..) doivent se finir par un /> et non pas juste un >

Tu fais un or die(...) pour les requetes... c'est un peu crade mais c'est bien... cependant tu ne le fais pas pour la connection à la base de données et la selection de la base... sinon il faudrait faire un garbage collector... parce que tu nettoie jamais ta table des vieux enregistrements donc au bout d'un moment ça risque d'être le bordel dans ta table... .. .

on reprend tout depuis le début...

<?php

// on se connecte a la BDD
mysql_connect('localhost', 'root', '') or die(mysql_error());
mysql_select_db('site_php_module') or die(mysql_error());

// on verifie que les variable $_POST['pseudo'] et $_POST['message'] existe
if(isset($_POST['pseudo']))
    $pseudo = trim($_POST['pseudo']);
        else
            $pseudo = '';

if(isset($_POST['message']))
    $message = trim($_POST['message']);
        else
            $message = '';

// un message a été posté ?
if(!empty($pseudo) && !empty($message))
{
if(time()%5 === 0) // garbage collector
{
// surement optimisable en une seule requete
$result = mysql_query('SELECT COUNT(pseudo) FROM  minichat');
$count = mysql_fetch_rows($result);

if($count[0] > 10)
mysql_query('DELETE FROM minichat LIMIT '.($count[0]-10));
}

// on enregistre dans la BDD les infos recupeter dans les variables $pseudo et $message
mysql_query('INSERT INTO minichat (`pseudo`,`message`) VALUES(\'\', \''.mysql_real_escape_string($pseudo).'\', \''.mysql_real_escape_string($message).'\')');
}

// on va recupere les données dans la table minichat, on les classe par ordre DESCendant dans une LIMITe de 10 entree(les 10 derniere vu que c ds un ordre DESC) dans la variable $Data
$result = mysql_query('SELECT pseudo,message FROM minichat ORDER BY ID DESC LIMIT 0, 10') or die(mysql_error()); //
mysql_close(); //on ferme la connection MySql

?>
<div align="center">
<h1 class="Style3">Mini Chat</h1>
<p>
<textarea cols="120" rows="30">
<?php

while(false !== ($row = mysql_fetch_assoc($result)))
echo htmlentities($row['pseudo']).' a dit : '.htmlentities($row['message']);

?>
</textarea>
    </p>
<p align="center">
<form action="minichat.php" method="post">
<span class="Style2">Pseudo :</span>
<?php // on verifi si la variable $pseudo existe si oui on affiche le pseudo a la place du champ text
if(!empty($pseudo))
echo '<span class="Style4">'.$pseudo.'</span><input type="hidden" name="pseudo" value="'.htmlentities($pseudo).'" />';
else // sinon on affiche le champ texte
echo '<input name="pseudo" type="text" />';
?>
<span class="Style1">Message :</span>
<input name="message" type="text" size="100" />
<input type="submit" name="Submit" value="Envoyer" />  
</form>
</p>
    <p align="center">
<a href="http://www.angelz.be" title="www.angelz.be">www.angelz.be</a>
</p>
</div>


Voili voilou... je met 4/10... .. .

@ tchaOo°

Commentaire de angelz le 21/12/2006 16:02:06

waou waou
encore bcp de chose a apprendre moi
merci de toute c correction, je v relier ca plus attentivement ce soir, j'avou que pas mal de chose m'echappe, mas cela doit etre normal au debut:)
mais merci pour tt ces conseils je v etudier ca

Commentaire de amezghal le 21/12/2006 17:16:44

AJAX n'est que du JavaScript, bon pour un chat en fait beaucoup de requettes sql, pour extraire les nouveaux messages, cela provoque un mauvais clignotement, se qui est po bien pour un chat.
le role d'AJAX c de faire ces operations mais en cache.

bon si tu veux en savoir  voici une bonne tuto:
http://gael-donat.developpez.com/web/intro-ajax/
bon prog

Commentaire de kankrelune le 21/12/2006 17:38:49

Ton commentaire concernant les requetes n'a pas lieu d'être sur ce script puisque le chat n'est pas rechargé... c'est un mauvais point d'ailleur il faut recharger la page pour voir les nouveaux message... qui plus est ajax n'empeche en rien les requetes elles sont juste effectuées en tache de fond... .. .

Ce que je trouve abhérant c'est que depuis un an ou deux les gens bavent sur des technologies bien plus vieilles que ça à cause d'un effet de mode... mieux vaut un chat bien codé sans ajax que mal codé avec !!! .. .

Oui ajax c'est bien mais encore faut il savoir s'en servir... qui plus est il est totalement injustifié de dire à un débutant en php d'utiliser Ajax... déja qu'il se concentre à apprendre le php il verra ensuite pour ajax... .. .

@ tchaOo°

Commentaire de amezghal le 21/12/2006 23:50:18

Bien fait dans cette MAJ mais ya une ptite remarque:
-il suffit de se connecter a la BD une seul fois. si tu vois bien tu trouves le contraire ( ligne 53, apres ligne 62).
bon prog

Commentaire de vilhjalms le 22/12/2006 03:32:01

Ce qui me fait rire c est la correction du 21/12/2006 23:09:30 sans parler du 21/12/2006 23:12:17 qui corrige lol

Commentaire de kankrelune le 22/12/2006 10:33:53

Ton code présente toujours la faille à la SQL injection (la plus grave)... prend le code nettoyé que je t'ai mis... regarde le et plutot que de ne changer que ce que tu comprend demande des explications sur ce que tu ne comprend pas... .. .

@ amezghal

{
echo htmlentities($donnee['pseudo']).' >>>> '.htmlentities($donnee['message']);
}

@ tchaOo°

Commentaire de malalam le 22/12/2006 12:06:27 administrateur CS

Hello,

- CONCACTNATION ça n'existe pas. Tu parles sans doute de concaténation. Dans ce cas, c'est le fait de "coller" deux chaînes pour n'en faire qu'une :
$a = 'hello';
$b = 'world';
$c = $a.$b;
echo $c;
$c est une concaténation de $a et de $b, et vaut 'hello world'. L'opérateur de concaténation en php est le point : .
Avec un echo, on peut ne pas concaténer, vu que c'est une structure fonctionnant comme une fonction: son but est d'afficher vers la sortie écran les paramètres qui lui sont passés:
echo $a, $b; // va afficher hello world
echo $a.$b // va afficher aussi hello world

Une injection sql est le fait d'injecter du code SQL dans une requête sql...heu...en gros, si tu as un formulaire qui demande un pseudo et un mot de passe, et que le mec te passe un truc qui est une requête sql à la place, c'est une injection. Si tu ne te prémunis pas de ça, tu peux avoir des problèmes. Je ne vais pas rentrer dans les détails de ce qui peut être fait, mais mysql_real_escape_string () est effectivement une fonction PHP permettant d'échapper automatiquement les données qui lui sont passées en paramètres. Notament l'apostrophe qui peut être utilisée dans le cadre d'une injection.
La XSS c'est du cross scripting. C'est une injection, mais ça s'applique aussi à des langages de scripts, pas qu'au sql.
A la place du pseudo ou du mot de passe ou du message, le mec peut balancer du html, ou du javascript, par exemple. Et ce code peut poser des problèmes...dans le meilleur des cas, à ton affichage. Dans le pire...bah...ça peut aller loin.
htmlentities () te prémunit de ça vu que ça transforme les tags html en entitéss html non interprétées. Donc, si on balance du javascript, il ne sera pas interprété, et sera simplement affiché.

Commentaire de kankrelune le 22/12/2006 12:44:11

Angelz... la doc php est ton amie... .. .

http://fr2.php.net/nom_de_la_fonction

Sinon rien à rajouter à ce qu'a dit Malalam... .. .

@ tchaOo°

Commentaire de Tartuffe le 22/12/2006 14:39:04

Sympa cette discussion...

Je voudrais revenir sur "mysql_real_escape_string"....
Au cas où effectivement la requête à une tête de type :
- select * from table where chp1=".$_post['mavariable']
je comprends l'intérêt de "mysql_real_escape_string".

Lorsqu'il y a  des traitements avant, type :
- if(strlen(trim($_post[mavariable]))<250 && strlen(trim($_post[mavariable]))>5)
{$variable_post="where chp1= ".(trim($_post[mavariable]));}
else
{$variable_post="";}
- select * from table $variable_post']
doit on utiliser "mysql_real_escape_string" ?

Et dans l'absolu, doit on TOUJOURS utiliser "mysql_real_escape_string" avec des requêtes construitent avec des variables GET et POST ?

Commentaire de angelz le 22/12/2006 15:17:11

merci merci pour ces infos encore bcp bcp a apprende :)
sinon pour "repondre" a malalam, je suis entierement d'accord avec toi.
ce code je le savais n'est evidement pas la pour etre reutilise, je pense que des chat tt fait ici il doit y en avoir deja pas mal lol
je l'ai poster pour comme tu dis avoir des conseils de pro :)
c'est comme ca que je pense pouvoir progresser
mais pq pas cree en effet une section debutant car je trouve se site et les gens qui y reponde tres complet et competant en plus (enfin je crois lol)
merci de laisse le code qui je pense pourra en aider d'autre qui debute :)

pour le reste je lire ca trnaquillement ce soir :)
merci encore a tous
j'ai plus apris en 2 jour avec vous qu'en 2 semaine de lecture lol

Commentaire de younes371 le 22/12/2006 17:29:40

en reponse à kankrelune , ajax, ça peut etre avec du php/mysql....,
et pour tout le monde et sutout l auteur , voici un tuto tres bien, et c avec ce tuto que j ai bien appris ajax :
http://www.siteduzero.com/tuto-3-7876-1-application-ajax-facile-avec-php-et-xajax.html

il contient aussi un mini-chat simple.

Commentaire de malalam le 22/12/2006 20:33:00 administrateur CS

En réponse à Younes => Ajax, c'est du javascript, point barre. Du javascript qui appelle un script serveur, qui lui peut être en de nombreux langages, dont PHP.
Ajax, pour soutenir Kankrelune, c'est un ancronyme qui, grosso merdo, est un mot un peu plus sexy pour parler d'une méthode permettant de réaliser des requêtes xmlhttp.
Mais la base, c'est le javascript.
Donc, la remarque de Kankrelune concernant le "et si javascript est désactivé? Ajax nécessite une méthode alternative, n'utilisant pas javascript, et qui n'est pas forcément à la portée du débutant" est parfaitement juste.
Ou alors, si tu as trouvé une méthode pour faire de l'Ajax, sans javascript, avec uniquement du php et du sql, fais en part à la communauté, s'il te plait, tu deviendras vite célêbre :-)

Commentaire de kankrelune le 23/12/2006 19:07:09

$kankrelune->mode('groumf',true);

Et xajax ça génère quoi... du... du... du javascript... .. .

Bref je ne dirais qu'une chose... BOULET !!! .. .

$kankrelune->mode('groumf',false);

Désolé Malalam... mais y a des fois je ne puis m'empêcher... ça soulage... .. .

Sans rancune aucune... et noyeux Joël à tous... .. .

@ tchaOo°

Commentaire de carpiste92 le 30/01/2008 10:48:43

bonjour
je cherche un exemple MINI CHAT
merci
thierry--92@hotmail.fr