Session en fonction d'un attribut

Question

Bonjour, je suis actuellement entrain d'essayer de sécuriser un script php en limitant son utilisation. J'ai cela comme script: 

if($_SESSION['last_session_request'] > time() - 10){
    mail("xxxx@xxxxxx.xxx", "Flood! ".$_SERVER["REMOTE_ADDR"], "Origine: ".$_SERVER["HTTP_REFERER"]);
header("location: ../echec.html");
    exit;
}
$_SESSION['last_session_request'] = time();

Seulement j'aimerais faire en sorte que la session ne soit pas lié à la page (style: z.php) . Mais à la page avec un attribut (exemple: z.php?r=3) . 

Seulement je ne sais pas si cela est possible et comment devrais-je m'y prendre ?

kohntark · Answer

Salut,

Je n'ai pas bien compris ce que tu veux faire, peux tu être plus explicite ?
Suffit de définir (et contrôler) la variable de session 'last_session_request' lorsque $_GET['r'] === 3; non ?

Gaffe avec "$_SERVER["HTTP_REFERER"]", c'est une donnée utilisateur qui peut être facilement modifiée, et quand elle est entrée directement dans la fonction mail() il est peut être possible de faire des injections.

Cordialement,


Kohntark -

arbilus · Answer

Et bien d'habitude ce script se met en marche à chaque chargement de la page z.php . Que ce soit z.php?j=2 ou z.php?q=0 etc .. Le script s'activera à chaque fois . Or ce que je veux c'est que ce script anti-flood ne s'active que pour un attribut spécifique: style: z.php?q=3 . 

Mais je crois que tu as compris. Seulement, comment faire pour définir la session "last_session_request" uniquement pour un attribut spécifique. Car la chose étant qu'on ne connait pas l'attribut à l'avance (-> tu m'as mis: lorsque $_GET['r'] === 3 . Or on ne sait pas si c'est égal à 3 .) 

J'aimerais une session pour un attribut spécifique. Exemple: une session pour r=3, une autre pour r=239 etc ..

kohntark · Answer

Pas simple de te répondre avec les infos que tu donnes.
Il faudrait en savoir plus sur la façon dont tu implémentes ça.
Le mieux, à mon avis, est que tu précises à quoi sert ce script; j'ai bien compris que c'était un antiflood, mais à quoi correspondent exactement la page z.php et les arguments passés (q, j, ...)

Car la chose étant qu'on ne connait pas l'attribut à l'avance 
Cela n'a pas d'importance, l'essentiel est de mettre à jour la variable contentant le timestamp là où il le faut, un truc du style peut être :


if(isset($_SESSION['last_session_request'][$_GET['r']]) && $_SESSION['last_session_request'][$_GET['r']] > time() - 10){
    mail("xxxx@xxxxxx.xxx", "Flood! ".$_SERVER["REMOTE_ADDR"], "Origine: ".$_SERVER["HTTP_REFERER"]);
header("location: ../echec.html");
    exit;
}
if (isset($_GET['r'])) $_SESSION['last_session_request'][$_GET['r']] = time();

... mais je parle peut être dans le vide, ne connaissant pas les tenants et aboutissants.

Cordialement,


Kohntark -

arbilus · Answer

Je vais tester ta solution . En tout cas tu as pigé ce que je cherche !

arbilus · Answer

ça fonctionne ! Merci à toi kohntark !! Finalement c'était pas si compliqué que ça, mais il fallait y penser !

Session en fonction d'un attribut

5 réponses

Votre réponse

Discussions similaires