CELLFORM CMS OPENSOURCE DE PARTAGE MULTIMÉDIA
lorda57
-
23 avril 2013 à 12:12
siumoy Messages postés 4 Date d'inscription vendredi 23 novembre 2007 Statut Membre Dernière intervention 5 mars 2016 - 5 mars 2016 à 14:28
siumoy Messages postés 4 Date d'inscription vendredi 23 novembre 2007 Statut Membre Dernière intervention 5 mars 2016 - 5 mars 2016 à 14:28
Cette discussion concerne un article du site. Pour la consulter dans son contexte d'origine, cliquez sur le lien ci-dessous.
https://codes-sources.commentcamarche.net/source/55084-cellform-cms-opensource-de-partage-multimedia
https://codes-sources.commentcamarche.net/source/55084-cellform-cms-opensource-de-partage-multimedia
5 mars 2016 à 14:28
1 oct. 2015 à 19:49
11 mars 2015 à 19:14
15 mai 2013 à 03:21
Par contre pour la couche SQL je reste en mysql simple pour des raisons de performances mysqli étant beaucoups plus gourmand, enfin de ce que j'ai lu.
3 mai 2013 à 09:33
Après une lecture très rapide, j'aurais 3 remarques :
1) il n'y a pas assez de classes PHP
Ce n'est pas tip top de fonctionner de la sorte (ex connect_db(...), sanitized(...), missing(...)) , car il peut être problématique d'installer plusieurs scripts qui auraient le même fonctionnement et donc pourraient déclarer les mêmes fonctions.
2) la fonction "sanitized" filtre des expressions qui pourraient pourtant se trouver dans un email.
Par exemple les chaines "group" ou "from" pourraient tout à fait légitimement se trouver dans un email ou dans un nom.
Comme il y a déjà une sécurisation en fonction des caractères (pas de ' ni de " autorisé) il ne devrait pas y avoir de problème à la présence d'une chaine comme "group".
3) ensuite il faudrait basculer en mysqli (mysql va être "deprecated" bientôt, autant prendre de bonne habitudes tout de suite.
4) apres la bascule mysqli il faudrait utiliser les requetes préparées qui sont plus sécurisées que les requêtes normales.
A défaut de rester en mysql (et bien qu'il n'y ait pas de faille apparente), il faudrait repasser une couche de sécurisation sur les chaines à destination de mysql avec une fonction de sécurisation mysql (mysql_real_escape_string) en traitant en plus les % et _ en cas d'utilisation dans un "select * from ...".
Bonne continuation
EM.
26 avril 2013 à 17:18
23 avril 2013 à 12:12