begin process at 2012 05 31 10:31:55
  Trouver un code source :
 
dans
 
Accueil > Forum > 

PHP

 > 

Divers

 > 

Général

 > 

securité


Derniers messages déposésPoser une question dans le forum ou lancer une discussion

securité

vendredi 29 juin 2007 à 15:39:01 | securité

pssinjaune

Bonjour,

je suis en train de cree, mon site web.
Il y a une partie privé à laquelle l'utilisateur doit s'identifier s'il veut y acceder.

J'ai mis des securités, mais n'etant aps expert dans le domaine j'aimerais savoir si elle sont suffisantes.

Pour chaque requette sql, nottament les INSERT, un addslashes pour chaque valeur insérées (celà est il suffisant pour eviter les injections sql ?)

Pour l'authentification admin,
J'ai mis la partie admin dans un repertoire dont seul moi, a priori, connait le nom

Pour l'authentification user,
L'user saisie son login et password (crypté en abse en sha256),
je verifie en base si la combinaison user-password saisie est bonne
Si oui alors je modifie les propriete de mon objet que j'ai apellé Auth:
auth=true;
lastaccess=time();
id=id_user
type="user"
etc.. (infos complémentaires)
Ensuite je stock mon objet Auth que je viens de cree dans une variable de session

Ensuite sur chaque page qui nécéssite une authentification:
je verif si la variable d'authentification où se trouve l'objet existe:
si non --> l'user n'est pas authentifier
si oui -->
   Je regarde si le timeout n'est pas depassé (30minutes)
   si oui -> j'efface mon objet de la session et l'acces est bloque
   si non -> je regarde si le type est bien "user" et que l'attribu "auth" est bien a true


Lors de l'affichage de texte (type article de blog) saisies par l'utilisateur je met un htmlspecialchars($var,ENT_QUOTES);

Voilà, est ce que celà vous parait suffisent ?
Qu'est ce que je pourrais faire de plus ?

Quand le site sera terminé, je ferais un backup avant et le soumettrais a vos mains expertes pour tester els failles ^^
Cordialement,
Sébastien

vendredi 29 juin 2007 à 15:50:26 | Re : securité

vilhjalms

Saell og blesuð

Pour les INSERT voir aussi mysql_real_escape_string

Vilhjálms
Sigurðsdóttir aka Frëyjá
vendredi 29 juin 2007 à 20:12:08 | Re : securité

MadM@tt

Membre Club
"Pour l'authentification admin,
J'ai mis la partie admin dans un repertoire dont seul moi, a priori, connait le nom"

>> ça je dirais que ce n'est pas suffisant, car si j'ai bien compris, si on trouve le nom du répertoire on a accès à tout... Il faut que tu protège ces pages admin par une connexion login-password (avec les cookies, ou sessions..)

- MadMatt -
Vb System Library

vendredi 29 juin 2007 à 20:17:44 | Re : securité

vilhjalms

Saell og blesuð

ou proteger le repertoire admin via htaccess

Vilhjálms
Sigurðsdóttir aka Frëyjá
samedi 30 juin 2007 à 04:59:09 | Re : securité

pssinjaune

bien entendu que j'effectue une verif login paswword pour la partie admin, je procede ensuite comme pour la partie user où je verifie a chaque page .... juste que pour securiser encore un peu j'ai mis un nom de repertoire assé complexe a deviner !

Pour mysql_real_escape_string, je ne l'utilise pas car j'utilise pear db et il est possible qu'un jour je soit amené a passé sous postgre sql ou autre
^^
sinon le reste c'est suffisent ?
samedi 30 juin 2007 à 13:25:19 | Re : securité

MadM@tt

Membre Club
Ben je suis pas un expert mais pour moi ça a l'air correct, après ça dépend qu'est ce qu'il y'a sur ton site. Tant que y'a pas d'informations vraiment importantes à cacher ça devrait aller. Sinon un truc que je fais, c'est que je sauvegardes toutes les adresses IP à chaque commentaires dans les forum ou autres des internautes sur mon site comme ça on sait jamais, peut etre que tu le fait déjà.

Et puis pour la sécurité, généralement c'est à l'experience, si un jour tu te fais hacker par une faille, ben il te restera plus qu'à la corriger comme on dit ;), mais bon d'ici à ce que quelqu'un y arrive..

- MadMatt -
Vb System Library

samedi 30 juin 2007 à 19:56:24 | Re : securité

pssinjaune

Merci pour vos reponses, pour les ip, je les conserves déjà...
Lors du login de mes mebres, des post de messages et articles et aussi pour faire mes stats sur les visiteurs, visites, etc...
En revanche, je ne crois pas que ce soit légal de conserver l'adresse ip d'un visiteur a moins de se declarer a un organisme officiel dont je ne me souviens plus le nom.

encore merci
++
seb
samedi 30 juin 2007 à 21:05:47 | Re : securité

MadM@tt

Membre Club
La CNIL... mais la reglementation a changé y'a pas longtemps, faut se renseigner.

- MadMatt -
Vb System Library

mardi 3 juillet 2007 à 13:11:54 | Re : securité

cedriclomb

Si tu utilise PEAR y a LiveUser qui est plutot Bien fichu. Un conseil passe en php5 et MDB2 c'est mieux DB n'est plus maintenu vraiment sauf pour les bugs majeurs


Cette discussion est classée dans : objet, user, authentification, oui, auth


Répondre à ce message

Sujets en rapport avec ce message

authentification [ par marcoacera ] Bonjour,je souhaiterais realiser une authentigication en php sur mon site, le htaccess me servirait a rien. tout le monde a access a toutes les pages, $PHP_AUTH_USER ; ouverture de dialog ; aide SVP [ par flasher_13 ] J'ai passé une journée à essayé de faire marché un code, je l'ai tortillé dans tout les sens mais là je ne comprend plus rien, j'ai tout essayé! A l'a PB authentification phpnuke [ par maw ] G un pb d'authentification de user avec phpnuke. Cela devrait marcher, c.a.d que l'entrée user est bien dans la table nuke_user sauf que lors de l'aut pb foreach avec classe ( prog objet ) [ par fredericmaill ] Bonjour j'ai un probleme pour metre a jour mon objet afin de faire un update dur ma table avec des données recupéré d'un formulaire en methode post.( session avec objet [ par Rhazou ] Bonjour,Je me tourne vers vous car je suis face a un pb que je n'arrive pas a résoudre.Je reg un objet dans une session, par d'erreur. si j'essay de l Instanciation d'une classe [ par aquouel ] Bonjour tout le monde,j'ai une question à propos de l'instanciation de classe. Immaginons que j'ai une classe "User" qui possède des propriètés propre Comment convertir un objet en un autre objet. [ par Rapace ] Bonjour à tous,Voici ma question, j'aimerai convertir un objet en un autre objet. Est-ce possible et si oui comment ?Par exemple j'ai dans une db les [POO] Singleton ou référence ? [ par zeguizmo ] Salut à tous !Je me pose actuellement une question, concernant les objets transversaux tels que l'objet gérant la base de données, classes de log etc comentaires [ par vlavin ] Bonjour tout le monde. Est ce que quelqu'un peut m'aider de commenter les lignes de code: if (!get_magic_quotes_gpc()) { $_SERVER['PHP_AUTH_US htaccess et $PHP_AUTH_USER [ par Clonk ] bonjour,j'aimerais savoir qi quelqu'un connait un serveur web gratuit ou $PHP_AUTH_USER marche, par ce que chez free, ça a pas l'air de marcher des ma


Nos sponsors


Sondage...

CalendriCode

Mai 2012
LMMJVSD
 123456
78910111213
14151617181920
21222324252627
28293031   

Consulter la suite du CalendriCode

Photothèque

A découvrir



 
Développement réalisé par Nicolas SOREL (Nix) avec l'aide de : Cyril DURAND et Emmanuel (EBArtSoft), Merci à Vincent pour ses précieux conseils.
CodeS-SourceS.com© Toute reproduction même partielle est interdite sauf accord écrit du Webmaster
CodeS-SourceS.com© est une marque déposée tous droits réservés

Google Coop CodeS-SourceS Google Coop CodeS-SourceS
Temps d'éxécution de la page : 0,296 sec (4)

Nous contacter | Annoncer sur CodeS-SourceS | Mentions légales