PHP - ADMINISTRER EN LIGNE : PROTECTION DES PAGES

Commentaire de coucou747 le 28/08/2008 08:14:29

   session_register("MASESSION");

ca ne s'utilise plus depuis php4.

if ($_POST['login'] == "$utilisateur" && ($_POST['pass'] == "$mot_de_passe"))

pourquoi ces guillemets autour des variables ? pourquoi ces parentheses inutiles ?

setcookie ("MONCOOKIE ", "protectOK", time() + 3600); // validité 1 heure (3600 secondes)
   // remplacer protectOK par ce que vous voulez

NON ! c'est une constante, c'est dangereux, voir suicidaire de faire ca... si tu mets ca dans une apps open source genre phpBB ou autre, c'est hyper dangereux...

Commentaire de bdlj39 le 28/08/2008 20:37:51

salut,

apparemment tu ne fais que comparer un mot de passe en clair à sa valeur stocker, elle aussi en clair, sur une page web sur ton site, ne serait-il pas intéressant de crypter ton mot de passe avec une clé MD5 ?
ce serait un peu moins risquer !

$password_crypted = md5($password);

et comme ça tu stock dans ta page ton mot de passe sous forme crypté.

tcho

Commentaire de jreaux62 le 06/09/2008 11:49:13

J'ai modifié mon tuto en fonction des commentaires ci-dessus.

Commentaire de charlycbu le 08/09/2008 17:49:06

Ou sinon, pour contourner le fait que le mot de passe et l'identifiant soient envoyés en clair, il est possible d'obliger l'utilisateur, sur un serveur Apache à utiliser une connexion sécurisée en mettant SSLRequireSSL dans un fichier .htaccess dans le repertoire requis, soit modifié les paramètres depuis l'interface IIS pour obliger l'utilisateur à passer par un tunnel sécurisé en https (SSL v3, ou TLS v1 ou AES 256, ou autres...)

Commentaire de webdeb le 24/09/2008 01:31:53

Quelques remarques à mon tour.

1/ Commençons par le tout début :

if (!empty($_POST['login']) && !empty($_POST['pass'])) {
$login = $_POST['login'];
$pass = $_POST['pass'];
} else {
$login = '';
$pass = '';
}

Le code ci-dessus à deux points améliorables. Tout d'abord à quoi te sert fondamentalement la copie inutile des variables ? Je dis inutile car tu copies les variables sans en vérifier et / ou filtrer les valeurs. De plus le else ne sert strictement à rien si tu initialises bien tes variables avant. Ce qui donne en utilisant l'extension filter :

$login = '';
$pass = '';
if (!empty($_POST['login']) && !empty($_POST['pass'])) {
    $login = filter_var($_POST['login'], FILTER_SANITIZE_STRING);
    $pass = filter_var($_POST['pass'], FILTER_SANITIZE_STRING);
}

2/ Concernant le code aléatoire, il ne sert strictement à rien. Il apporte complexité d'une part et semblant de sécurité d'autre-part car il n'a rien d'un vrai jeton généré aléatoirement. Utiliser la fonction crypt() aurait été plus judicieux. De plus, la portion de code qui s'occupe de générer ton mot de passe aléatoire aurait sa place dans une fonction. Au final, tu peux malgré tout ce qui concerne le jeton y compris la variable $_SESSION['CODEVALIDE']. Une variable de session $_SESSION['isAuthenticated'] avec la valeur true ou false suffit à elle seule pour marquer l'utilisateur comme loggué ou non. Pas la peine de créer une tripotée de variables de session.

3/ Aïe aïe aïe, là c'est le drame :

<?php
// ------------------------------------------------------------------------------------------------------------------
if ($_POST['login'] == $utilisateur && $_POST['pass'] == $mot_de_passe")
{ // Accès autorisé si identifié
// Redirection vers le menu de l "espace d administration"
header("Location: http://www.MONSITE.com/ADMIN/MONmenuADMIN.php");
}
// ------------------------------------------------------------------------------------------------------------------
else
{ // sinon affichage du formulaire d'identification
?>

Depuis quand faisons-nous des redirections côté serveur lorsque le HTML a déjà été envoyé au navigateur. Les appels à header() doivent se faire exclusivement / impérativement avant tout envoi de contenu au navigateur. Header() <=> entêtes != Body <=> corps et données du document. De plus, après une redirection avec header(), on doit penser à ajouter un arrêt immédiat de l'exécution du programme PHP avec exit() ou die(). Le code précédent peut se résumer en quelques lignes à (en créant la fonction qui va bien) :

<?php

if(true === checkLoginAndPassword($login, $password)) {
    header('Location: http://www.monsite.com/admin/panel.php');
    exit;
}
?>
<html>
<head>
<title>Identification</title>
</head>
<body>
<!-- Formulaire ici -->
</body>
</html>

4/ Enlève tes horribles commentaires inutiles qui servent de décoration mais rendre moins confortables la relecture et compréhension du code. L'utilisation des symbôles de commentaires ne devrait servir uniquement qu'à marquer des commentaires utiles au programme.

5/ Concernant ta page _protect.php, elle se résume à seulement 3 / 4 lignes et pas plus :

<?php

if(!isset($_SESSION['isAuthenticated']) || ]false === $_SESSION['isAuthenticated']) {
    header('Location: http://www.monsite.com/admin/index.php');
    exit;
}
?>

6/ Au sujet de la déconnexion, il y'a une méthode plus élégante pour mettre fin à la session :

<?php

session_start();
$_SESSION = array(); // ou bien moins radical : $_SESSION['isAuthenticated'] = false;
setCookie('monCookieNom'); // destruction du cookie
unset($_COOKIE['monCookieNom']); // destructeur des informations du cookie en mémoire
session_destroy();
unset($_SESSION);
header('Location: http://www.monsite.com/admin/index.php');
exit;
?>

Ceci n'est qu'un début de piste pour t'aider à améliorer ton code. Personnellement je noterai 5/10 tout au plus ce tutoriel...

++

Hugo.

Commentaire de ikarios34 le 13/03/2009 16:48:38

-------------------------------------------------------------------------------------------


Effectivement, apparemment (selon moi bien sûr) le script de préparation de jreaux61, souffre de petites erreurs de logiques, mais, avec mon humble perception, son code <?php?>; est vraiment très bon..!

Lire, le très bon commentaire de WEBDEB, posté à 01.31.53, par ailleurs fort intéressant; clair et de plus sur chaque -_selon WEDEB_- "remarque", toujours animée avec des qualités de logique, d'évolutivité, précision et de netteté, elles sont toujours suivies d'une solution <?php?> complète, bien étudiée, me semble-t-il.

Mais les remarques de WEBDED comportent aussi certaine "failles" ... je n'aime pas ce terme,enfin bon voilà passons :-) nous ne sommes là que pour améliorer au mieux possible la théorisation d'un problème, je n'aime pas non plus ce mot là lol et l'application de celui-ci sous un thème communiquable (évolutif aussi), c.a.dire ne prenons pas trop de directions à la fois. Ce thème, si le sujet reste de cette même qualité, deviendra alors la / les jonction(s) des points pertinents de chaque publication(s) future(s) de "JREAUX61, WEBDEB et de toute(s)et tout(s)  autres programmeuse(s)eur(s). Ce pense que le résultat pourra être magnifique!!!!

Pour l'instant le sujet,(je suis nouveau et c'est mon premier post) m'intéresse pleinement puisque c'est un de mes domaines.

bien à vous, amusez vous, moi je m'amuse comme un 'tit fou (!) avec ces "bestioles" là (on s'entend...hein...je parle des "machines" à la 2001 d'Odyssée de l'Espace :-)...rires.

philippe, ceux qui apprécient ce que je note, ;-)


------------------------------------------------------------------------------------------

Commentaire de griffondorr le 20/03/2009 00:07:27

tutorial complet mais un peu compliquer pour moi ;)

Commentaire de lebogoss28104 le 29/04/2009 16:10:32

Je n'arrive pas à l'integrer à mon site ! =(
Pourais tu donnais quelques explications ?
Merci d'avance ! ;-)