THELIA Forum

bonjour,

désolé de vous embeter encore avec cette histoire de magic_quotes mais je pense que rajouter un test de cette valeur dans le script thélia pourrait le rendre encore plus compatible sans alourdir le code...

je m'explique : l'autre jour, j'ai mentionné un risque d'injection sql dans le cas ou les magic_quotes n'étaient pas activées dans le php.ini (magic_quotes_gpc off)...
aujourd'hui je viens de me rendre compte d'un autre "bug" lié à cette valeur => quand magic_quotes_gpc est à off, si vous ajoutez une description à un produit à l'aide de tinymce par exemple, et que vous utilisez des styles prédéfinis, ce dernier ajoute les attributs class="style" dans votre code html... malheureusement, ces guillemets rajoutés par tinymce font planter mysql qui échoue sur sa requete car les guillemets ne sont pas protégés.... et du coup il ne comprend pas la requete.... ex: description="<ul><li class="     style">.....

mon point de vue:

- les magic_quotes sont à ON par défaut dans le php.ini mais on peut avoir besoin de les mettre à OFF pour certains scripts (c'est mon cas),
- certains hébergeurs peuvent les mettre à OFF par défaut, sans laisser la possibilité de modifier quoi que ce soit,
- citation : "Il est recommandé de développer les applications sans l'aide des guillemets magiques, et de protéger manuellement les données" tiré de php.net (http://fr.php.net/magic_quotes)

donc, si je peux me permettre une petite suggestion, je pense que cela serait pratique de modifier le fichier pre.php comme suit:

if (!get_magic_quotes_gpc()) {
              foreach ($_POST as $key => $value) $$key = addslashes($value);                             plus simple ==>     foreach ($_REQUEST as $key => $value) $$key = addslashes($value);
              foreach ($_GET as $key => $value) $$key = addslashes($value);
              }else{
              foreach ($_POST as $key => $value) $$key = $value;                                                   plus simple ==>     foreach ($_REQUEST as $key => $value) $$key = $value;
              foreach ($_GET as $key => $value) $$key = $value;
      }

de cette manière, plus de soucis avec les magic_quotes

j'ai volontairement posté ici plutot que sur le tracker (pardon Yoan ) car je pense que cela peut etre instructif pour ceux qui débutent en php de comprendre ce que font ces "guillemets magiques"

steph

Last edited by stefan (27-07-2007 15:08:06)

je pense que vous n'avez pas bien cerné mon "probleme", je me suis probablement mal expliqué....

1) le script de création/modification d'un produit est un script de la partie Admin, qui se nomme produit_modifier.php,
2) la toute première ligne de code de ce fichier est : include("pre.php"),
3) l'édition de ce fichier pre.php montre clairement que ce sont les valeurs de $_GET et $_POST qui sont récupérées,
4) donc la solution proposée ci-dessus est tout à fait oppérante (enfin au moins sur mes différents serveurs de test).

l'utilisation de htmlentities est une autre solution je le reconnais, je rajouterais juste un détail, cette fonction convertit (par défaut) seulement les guillemets doubles, pour avoir les simples en plus, il faut lui passer un argument optionnel (ENT_QUOTES)...

enfin pour ce qui est des $_REQUEST, et leurs utilisation dans des conditions "cadrées", là c'est moi qui ne vous comprends pas

en effet, on peut voir dans moteur.php par exemple:

if(!isset($_REQUEST['prenom'])) $prenom=""; else $prenom=$_REQUEST['prenom'];

or, ici, moi je comprend : si la variable prenom n'est pas passée en GET ou en POST (donc dans la REQUEST qui englobe en fait toutes les méthode de transmission) alors elle est initialisée à null, sinon $prenom prend la valeur passée....

la seule différence que je vois ici avec l'utilisation du REQUEST est la simplification du code (une ligne au lieu de deux)... par contre aucun test des valeurs passées.... donc toujours possibilité d'erreur....

je suis peut-être un peu "lourd" avec mes histoires de magic_quotes et de test des valeurs passées par les formulaires, mais je pense qu'un script dont le but est de gérer une boutique en ligne avec options de commande, paiement.... doit être un minimum sécurisé.... et la sécurité passe (à mon avis) d'abord par la maitrise de tout ce qui se passe.....

voila, désolé pour ce long commentaire mais ce n'est pas  en faisant de la désinformation qu'on fait évoluer un projet...

steph

Heu ! bon je me suis aventuré dans un domaine ou j'avais pas le niveau.

htmlentities convertit par défaut non seulement les guillemets mais également les <, > et & ce qui est indispensable si l'on veut utiliser tinymce;

Je suis par ailleurs entièrement d'accord avec l'avant dernier paragraphe du post de stefan

Last edited by jhr (27-07-2007 16:02:24)

Bonjour, cette discussion me semble intéressante car

1/ j'ai rencontré des problèmes avec l'usage des guillements et tinymce

2/ la sécurité me semble très importante dans un script e-commerce

Question pour jhr...

Où avez-vous utilisé cette fonction, dans quel contexte?

Last edited by gib (18-09-2007 01:28:37)

Heu oui

Je suis plutôt occupé en ce moment, c'est pas tjs simple de répondre.
Il est clair qu'il faut bannir le foreach là dessus.

Pourquoi ne pas configurer correctement son php.ini voir ajouter un .htaccess pour changer la conf si on a pas accès au php.ini ?