[PhP-SQL]Sécuriser les variables utilisateurs Résolu/Fermé

Question

Bonjour à tous,  

Je me pose actuellement cette question : 

Comment "bien" sécurisé les variables entrées par les utilisateurs dans les formulaires ? 

Alors je sais qu'il y a ces fonctions qui existent, mais je ne sais pas laquelle, lesquelles utiliser. 

htmlentities 
htmlspecialchars 
addslashes 
stripslashes 

Pour l'échappement avant l'ajout dans une bdd, j'utilise : 
mysql_real_escape_string 

Mais je ne pense pas que cela soit suffisant. 
J'attends vos conseils et remarques =) 

Cordialement 
Exileur 


Configuration: Windows 7 SP1 x64, 4go RAM, 2*1To disque dur, Nvidia GTx 9800, amd2 4core 2.8 ghz

N'oubliez pas de marquez votre post comme résolut lorsque vous avez eu les réponses à vos questions... 
Au royaume des aveugles, les borgnes sont rois.

le père · Answer

Bonjour

1- récupération des données
Il faut utiliser stripslashes pour récupérer les variables reçues par $GET, $POST ou $COOKIES si la fonction get_magic_quotes-gpc() rend 1.
En effet, si elle rend 1, ça signifie que le serveur est configuré pour ajouter des slashes devant les apostrophes : dans ce cas et dans ce cas seulement, il FAUT utiliser stripslashes.

2 - enregistrement dans mysql
Il faut utiliser  mysql_real_escape_string pour enregistrer les données dans une base de données mysql si les données peuvent contenir des caractères spéciaux (signes de ponctuation, lettres accentuées, données binaires...). C'est inutile (mais sans danger) de le faire si les données ne contiennent de manière certaine que des caractères alphanumériques (non accentués). Par exemple, la fonction MD5 rendant une chaîne constituée uniquement des chiffres 0 à 9 et des lettres a à f, faire mysql_real_escape_string(MD5($password)) comme on voit souvent est inutile: MD5($password) suffit.

Je n'ai jamais, jamais eu besoin de addslashes, qui joue un rôle voisin (mais pas exactement équivalent) à mysql_real_escape_string 

3 - affichage
Les fonctions htmlentities et htmlspecialchars ne devraient intervenir qu'au moment d'afficher les données.  Personnellement je n'utilise que htmlspecialchars qui ne transforme qu' un minimum de caractères.

Ceci est mon point de vue sur l'utilisation de ces fonctions. Mais chacun a le droit de les utiliser comme il veut. Par exemple, on voit souvent des scripts avec mysql_real_escape_string(htmlentities(stripslashes($variable))). Je crois que ce genre d'empilement de fonctions tient plus de la méthode "dans le doute, ceinture + bretelles" que de la bonne connaissance de leurs rôles.

le père · Answer

if(get_magic_quotes_gpc())
{
$username=mysql_real_escape_string(stripslashes($_POST['username']));
$password = MD5(stripslashes($_POST['password']));
}

else
{
$username = mysql_real_escape_string($_POST['username']);
$password = MD5($_POST['password']);
}
ok pour le principe, mâme si c'est loin d'être optimal. Personellement, je crée uen fonction Recupgpc :

function Recupgpc($chaine) {
  if(get_magic_quotes_gpc()) return stripslashes($chaine);
  return $chaine;
}

$username = Recupgpc($_POST['username']);
$password = Recupgpc($_POST['password']);

// test de validité de $username et $password

// requête sql avec mysql_real_escape_string($username) et MD5($password)


Note qu'il faut vérifier que le login et le password respectent un minimum de règles (longueurs minimale et maximale par exemple, nom "qui ressemble à un nom") AVANT de les insérer dans la base de données.
C'est pour ça que je n'applique pas mysql_real_escape_string et MD5 dès la réception des données mais juste au moment de la requête d'insertion. Pour la vérification, ça n'a pas d'importance car on ne va pas trouver les mots bizarres dans la base s'ils ont été rejetés à l'insertion.

htmlspecialchars reste indispensable lors de l'affichage. Pas vraiment en fait, mais si tu ne comprends pas tout à la lecture de la page de manuel sur cette fonction, utilise-la pour les echo. Rien n'interdit de l'utiliser dès la récupération des données comme tu le proposes, c'est simplement un détournement de la fonction. Ça ne te dispense ni du stripslahes (quand il est utile) ni du mysql_real_escape_string

[PhP-SQL]Sécuriser les variables utilisateurs

2 réponses

Discussions similaires