Bonjour,
je suis en train de cree, mon site web.
Il y a une partie privé à laquelle l'utilisateur doit s'identifier s'il veut y acceder.
J'ai mis des securités, mais n'etant aps expert dans le domaine j'aimerais savoir si elle sont suffisantes.
Pour chaque requette sql, nottament les INSERT, un addslashes pour chaque valeur insérées (celà est il suffisant pour eviter les injections sql ?)
Pour l'authentification admin,
J'ai mis la partie admin dans un repertoire dont seul moi, a priori, connait le nom
Pour l'authentification user,
L'user saisie son login et password (crypté en abse en sha256),
je verifie en base si la combinaison user-password saisie est bonne
Si oui alors je modifie les propriete de mon objet que j'ai apellé Auth:
auth=true;
lastaccess=time();
id=id_user
type="user"
etc.. (infos complémentaires)
Ensuite je stock mon objet Auth que je viens de cree dans une variable de session
Ensuite sur chaque page qui nécéssite une authentification:
je verif si la variable d'authentification où se trouve l'objet existe:
si non --> l'user n'est pas authentifier
si oui -->
Je regarde si le timeout n'est pas depassé (30minutes)
si oui -> j'efface mon objet de la session et l'acces est bloque
si non -> je regarde si le type est bien "user" et que l'attribu "auth" est bien a true
Lors de l'affichage de texte (type article de blog) saisies par l'utilisateur je met un htmlspecialchars($var,ENT_QUOTES);
Voilà, est ce que celà vous parait suffisent ?
Qu'est ce que je pourrais faire de plus ?
Quand le site sera terminé, je ferais un backup avant et le soumettrais a vos mains expertes pour tester els failles ^^
Cordialement,
Sébastien