les dangers de l'include PHP, pour un débutant

[Hyp]

Ce message a été modifié par Hyp - 12 May 2010, 11:51.

[hubeert]

que tu utilises require_once ou include_once ne vas pas changer grand chose au niveau sécurité si cest ce que tu recherches ; il faut simplement verifier que ce que tu inclus ou requiers sois reellement ce que tu veux inclure ou que tu requieres.. chemin absolu ou chemin ou chemin relatif ne change rien pour la personne qui tape dans le navigateur (meme si cest au hasard) la bonne adresse telle que le decrit Schlum..faut juste verifier que ce soit ce que toi tu veux inclure qui est inclu..sinon est bien tu reviens a la page index par exemple . rien de plus pour l'include. le reste de la sécurité web releve quand meme bien souvent que du bon sens.

Enfin, comme je l'ai rappelé plus haut, dans tous les cas le code du fichier inclus est "exécuté".

justement faut pas qu'il soit inclu

c'est donc ce qu'il faut faire.. et pour ce faire pas bcp de solution.. autre que verifier que ce c'est le bon include qui arrive tout autre est rejeté..


et mefiez vous des fichiers .bak.. que certain editeurs rajoutent pour sauvegarder..

en tout etat de cause en cas d'attaque serieuse la meilleures solution est encore d'avoir des sauvegardes a jours..

eviter l'inclusion de fichiers de programme distant..

et eviter les injection SQL..

bref c'est tout un binzzzz

bref tout un programme..

[Grognon]

que tu utilises require_once ou include_once ne vas pas changer grand chose au niveau sécurité si cest ce que tu recherches ; il faut simplement verifier que ce que tu inclus ou requiers sois reellement ce que tu veux inclure ou que tu requieres.. chemin absolu ou chemin ou chemin relatif ne change rien pour la personne qui tape dans le navigateur (meme si cest au hasard) la bonne adresse telle que le decrit Schlum..faut juste verifier que ce soit ce que toi tu veux inclure qui est inclu..sinon est bien tu reviens a la page index par exemple . rien de plus pour l'include. le reste de la sécurité web releve quand meme bien souvent que du bon sens.

Oula, pour ma part, je me contente déjà que ça fonctionne ; la sécurité vient loin derrière
J'ai juste remarqué que quand c'était include, ça ne fonctionnait pas et que quand c'était require ça fonctionnait

[marc_os]

Oula, pour ma part, je me contente déjà que ça fonctionne ; la sécurité vient loin derrière

Mais si tu as le temps, ça vaut le coup d'en profiter pour chercher à comprendre les subtilités du langage ! Un jour tu seras bien content d'avoir profité utilement du moment où tu avais le temps. Et même s'il y a la pression quand on doit livrer, cinq minutes de "perdues" à comprendre à un moment donné peuvent faire gagner des heures de débogage vraiment perdues par la suite !

J'ai juste remarqué que quand c'était include, ça ne fonctionnait pas et que quand c'était require ça fonctionnait

Encore et toujours, lire la documentation!

require() et include() sont identiques, sauf dans leur façon de gérer les erreurs. include() produit une Alerte (warning) tandis que require() génère une erreur fatale.

A noter aussi: les deux fonctions existent en deux variantes: la "normale", include() ou require() et la version "_once" : include_once() ou require_once(). Ces dernières assurent qu'un fichier inclus n'est inclus qu'une seule fois.

Le fait de remplacer include par require pour que ça marche est étonnant, car require est plus restrictif que include ! A mon avis, tu n'as probablement pas fait que cette modification entre le moment "ça ne marche pas" et celui où "ça marche". Par exemple, tu as peut-être utilisé la version "_once" et évité ainsi une double inclusion ?

Ce message a été modifié par marc_os - 7 Dec 2006, 11:40.