Bonjour à tous,
Voila j'ai réalisé dernièrement un gros backoffice avec la possibilité de donnée des accès privatif pour chaque rubrique à chaque utilisateur. Mon code fonctionne et tout va bien sauf que je ne pense pas avoir utilisé la meilleur méthode. J'aimerais donc savoir comment vous faites pour sécuriser au maximum votre backoffice et donner des accès privé a chaque utilisateur. De plus si vous pouvez me dire les failles possibles de ma réalisations ca serait cool.
Voici l'explication mon code :
Tous d'abord chose plutot classique j'utilise une page d'identification login + mot de passe. A chaque fois qu'une personne fait un essai on va voir en base si la personne existe. Si ce n'est pas le cas elle est redirigé vers la page d'accueil sinon on créer une variable de session contenant diverse info dans tous les acces donc la personne dispose (en faite ca correspond à un champs varchar ou tous les acces de la personne sont séparé par un "-"). Egalement si la personne connait le nom des pages interne et n'est pas logué (donc pas de variable de session activé) elle est redirigé sur la page d'accueil.
Jusqu'a la je pense avoir fait quelque chose de classique.
Voila ou sa se complique. Pour toutes les page crée dans le module j'y ai insérer manuellement une variable contenant le nom de la rubrique. Ex ma rubrique toto comporte une page d'ajout/modif/suppr/consultation ses quatre pages ont en premiere ligne de code la variable $rub = toto; et ainsi de suite pour toutes les pages du module (rubrique tata aura $rub = tata etc...).
Le premier problème que vous avez peut etre tout de suite vu et que si je me trompe dans la syntaxe dans $rub ca bloquera forcement.
Maintenant pour savoir si une personne peut accèder a la rubrique je teste via un explode les acces du client en base . Si une des valeurs trouvé correspond à $rub c'est que la personne a acces a cette rubrique donc je ne fais rien sinon si la personne est redirigé sur la page d'accueil (dans le cas ou le personne tente d'accèder à la rubrique ou elle n'a pas accès).
Pour info je passe toutes mes variables en post et dans le menu les rubriques s'affichent que si la personne a accès. Je cherche plus à sécurisé dans le cas ou la personne est déjà connecté dans le module et qu'elle essai d'accèder (en tapant l'url) à une page ou elle n'a pas accès.
Je ne sais pas si j'ai étais bien clair. En tous cas toutes critique (constructive) sur mon code plutot explication du code et amélioration de celui ci sera la bienvenue.