MIXCLUB/PLAYLIST

Commentaire de jean84 le 12/12/2006 21:36:38

Salut !

Pas mal, ton code est pas trop mal et il est correctement commente. Neanmoins, il y a un quelque chose d'assez grave pour une appli fonctionnant avec une bdd, c'est que tu ne filtres ABSOLUMENT rien.. mais alors rien de chez rien !! Ce qui fait que cote securite, un pirate un (tout petit) peu experimente arriverai a faire un peu ce qu'il veut avec ta base.... pense donc a appliquer au moins un htmlentities() sur tes variables $_POST.
Si jamais t'a la flemme, tu peut faire sa par exemple :

foreach ( $_POST as $Key => $Value )
    $_POST[$Key] = htmlentities(strip_tags($_POST[$Key]));

tu inclues sa au debut de chaque fichier et tu pourras utilsier tranquillement tes variables apres (pas besoin de modifier le code). Ce n'est qu'un exemple de secour mais sa pourra t'aider.

@++ et bonne continuation :-)

Commentaire de kankrelune le 13/12/2006 10:54:16

@ jean84... htmlentities() et strip_tags() ne servent strictement à rien pour mysql cette dernière n'interprétant ni le html ni le php... la seul solution fiable c'est mysql_real_escape_string()

function cleanForMysql($var)
{
    if(is_numeric($var))
        return $var;
    elseif(is_array($var))
    {
        foreach($var as $k => $v)
            $var[$k] = cleanForMysql($v);
    }
    else
    {
        if (get_magic_quotes_gpc())
            $var = stripslashes($var);

        $var = mysql_real_escape_string($var);
    }

    return $var;
}


foreach($_POST as $k => $v)
    $_POST[$k] = cleanForMysql($v);

Il est inutile de le faire sur toute la superglobale $_POST... le faire uniquement sur les entrées servant aux requetes SQL suffit... à moins que toutes les entrées servent aux requetes SQL... .. .

@ tchaOo°

Commentaire de guisx00 le 13/12/2006 13:45:51

je suis d'accord sa me parait vraiment bizard dans le fichier lecteur il n'y à que une ligne pour le lecteur!!!
Juste comment vous faites pour le faire marche sur le site "mixclub.tk" lol

Bon allez un peu de modif va faire du bien à se code car je trv l'idée vraiment interréssante.

@++

Commentaire de guisx00 le 13/12/2006 16:12:15

lol moi sa marche une fois sur deux sur ie mais sur firefox j'entends juste le son lol
Jvai modifie le fichier lecteur et mettre le lecteur media je pense que sa ira mieux.

@++

Commentaire de jean84 le 15/12/2006 17:05:58

"A au fait... htmlentities() et strip_tags sont utile dans ce code pour éviter les failles XSS notament dans lecteur.php... .. ."

C'etait preciesement ma crainte... c'est vrai que pour mysql, sa sert part vraiment, ta fonction est beaucoup mieux.

"Il est inutile de le faire sur toute la superglobale $_POST... le faire uniquement sur les entrées servant aux requetes SQL suffit... à moins que toutes les entrées servent aux requetes SQL... .. ."

Comme j'ai pas tout regarde en details et je voulais proposer un truc simple, sa me paraissait la meilleure solution. C'est vrai que c'ets un peu inutile de tout scanne, mais au cas pour la prochaine mise a jour ou modification du code, avec sa il ne se soucie de rien, c'est un bon avantage (moi qui suit feignant, sa m'a bien aide ^^)

Commentaire de kankrelune le 17/01/2007 14:48:21

Les critiques sont constructive si elles sont développées et agrémentées d'exemples pour corriger les erreurs sur lesquels qu'elles visent... ce qui est le cas ici me semble t il... .. . ;o)

Mais il ne faut pas pour autant se décourager... tu est jeune et le travail déjà accomplis est une bonne base... .. .

@ tchaOo°

Commentaire de pouda le 24/03/2007 10:14:54

il manque le fichier son.php...