checkbox

Le
Freegate
Bonjour,

Voila le code que j'utilise pour mettre à jour ma base de données :

if (isset($_POST['submit']))
{


$sql="";
foreach ($_POST as $indice => $valeur)
{
if ($indice!="submit") {$sql=$sql."
".$indice."='".htmlentities($valeur)."',";}
}

$sql=substr($sql, 0, -1);
echo $sql;
$req="UPDATE $table SET $sql WHERE $filtre";
mysql_query($req) or die (mysql_error()." : ".$req);

}

Ce script a été mis en place pour mettre à jour n'importe quelle page
de mon site. Mon problème est que dans mon formulaire à envoyer, j'ai
plusieurs champs de type checkbox. Lorsque les cases à cocher ne le
sont pas, les POST['checkbox'] ne sont pas initialisés, et les champs
correspondants dans la base mysql ne peuvent se mettre à jour avec la
valeur "0". Par contre quand la case est cochée le POST renvoie bien la
valeur "1").

Avez-vous une astuce pour régler ce problème, sans perdre l'idée que le
script de mise à jour est un include qui doit fonctionner avec
n'importe quelle page de mon site ?

Merci.
Vidéos High-Tech et Jeu Vidéo
Téléchargements
Vos réponses Page 1 / 2
Gagnez chaque mois un abonnement Premium avec GNT : Inscrivez-vous !
Trier par : date / pertinence
Mickael Wolff
Le #10851601
Freegate a écrit :
Voila le code que j'utilise pour mettre à jour ma base de données :

if (isset($_POST['submit']))
{


$sql="";
foreach ($_POST as $indice => $valeur)
{
if ($indice!="submit") {$sql=$sql."
".$indice."='".htmlentities($valeur)."',";}



Htmlentities doit être utilisé pour échapper des données à envoyer au
navigateur.
Pour échapper des données à insérer dans la base de données, il faut
que tu utilises mysql_escape ou mysql_real_escape. Dans l'état actuel de
ton développement, il est sensible à des failles de type SQL Injection.

Avez-vous une astuce pour régler ce problème, sans perdre l'idée que le
script de mise à jour est un include qui doit fonctionner avec n'importe
quelle page de mon site ?



Pour savoir si une checkbox n'est pas cochée, il n'y a pas de secret,
il faut chercher la clé dans $_POST. Son absence indique que la case est
décochée. Tu ne peux pas faire autrement.

--
Mickaël Wolff aka Lupus Michaelis
http://lupusmic.org
Olivier Miakinen
Le #10852161
Le 29/06/2008 08:46, Freegate a écrit :

Voila le code que j'utilise pour mettre à jour ma base de données :

if (isset($_POST['submit']))
{
$sql="";
foreach ($_POST as $indice => $valeur)



Hum... j'espère que tu as un solide contrôle des noms d'indices
autorisés avant d'appeler ce code.

[...]

Ce script a été mis en place pour mettre à jour n'importe quelle page
de mon site. Mon problème est que dans mon formulaire à envoyer, j'ai
plusieurs champs de type checkbox. Lorsque les cases à cocher ne le
sont pas, les POST['checkbox'] ne sont pas initialisés, et les champs
correspondants dans la base mysql ne peuvent se mettre à jour avec la
valeur "0". Par contre quand la case est cochée le POST renvoie bien la
valeur "1").

Avez-vous une astuce pour régler ce problème, sans perdre l'idée que le
script de mise à jour est un include qui doit fonctionner avec
n'importe quelle page de mon site ?



Eh bien avant d'appeler cet include, lors du contrôle des noms d'indices
que tu *dois* faire, tu utilises unset sur les noms inattendus ou non
désirés (ce qui incluera à la fois les checkbox et les valeurs qui
pourraient avoir été envoyées par un pirate).

Un truc du genre :

foreach ($_POST as $indice => $valeur) {
switch ($indice) {
case 'submit':
/* bouton de soumission */
break;
case 'truc':
/* nombre entre 3 et 7 */
if ($valeur < 3 || $valeur > 7) die(...)
if (... autres tests ...) die(...)
break;
case 'bidule':
... etc.
break;
default:
unset $_POST[$indice]; /* ou die(...) */
break;
}
}
Freegate
Le #10855711
Mickael Wolff a écrit :

Pour savoir si une checkbox n'est pas cochée, il n'y a pas de secret,
il faut chercher la clé dans $_POST. Son absence indique que la case est
décochée. Tu ne peux pas faire autrement.



Ce qui veut qu'il faut que j'adape ce code à chaque page car il ne peut
savoir à l'avance si un $_POST[checkbox] est absent ou pas !!!

Mince !!!
Freegate
Le #10856411
Mickael Wolff a utilisé son clavier pour écrire :

Avez-vous une astuce pour régler ce problème, sans perdre l'idée que le
script de mise à jour est un include qui doit fonctionner avec n'importe
quelle page de mon site ?



Pour savoir si une checkbox n'est pas cochée, il n'y a pas de secret,
il faut chercher la clé dans $_POST. Son absence indique que la case est
décochée. Tu ne peux pas faire autrement.



justement je me dis qu'il y a moyen de contourner le pb. J'ai pensé aux
champs de type hidden. Voila ce que j'ai codé dans la page :


<script language="javascript">

function value_box(mybox)
{
if (mybox.checked==true){this.value=1;document.myform.active.value=1}
else {this.value=0;document.myform.active.value=0;}
}

</script>
<body>


<input type="hidden" name="active" value="1" />
<label>test <input name="active" onclick='value_box(this)'
type='checkbox' value="1" checked="checked" /></label>
<br />
<input type='submit' name='submit' value='Enregistrer' />
</form>

L'idée est modifier le value d'un champ hidden de 0 à 1 lorsque je
coche la case en question. Mais manifestement le champs hidden n'est
pas mis à jour. Je ne comprends pas pourquoi car je ne maitrise pas le
javascript !!!

Pensez-vous que je doive insister dans cette voie ?
Olivier Miakinen
Le #10856581
Le 29/06/2008 22:13, Freegate a écrit :

Pour savoir si une checkbox n'est pas cochée, il n'y a pas de secret,
il faut chercher la clé dans $_POST. Son absence indique que la case est
décochée. Tu ne peux pas faire autrement.



justement je me dis qu'il y a moyen de contourner le pb. J'ai pensé aux
champs de type hidden. Voila ce que j'ai codé dans la page :

<script language="javascript">

[...]

L'idée est modifier le value d'un champ hidden de 0 à 1 lorsque je
coche la case en question. Mais manifestement le champs hidden n'est
pas mis à jour. Je ne comprends pas pourquoi car je ne maitrise pas le
javascript !!!



Tu peux aller te renseigner du côté de fr.comp.lang.javascript.

Pensez-vous que je doive insister dans cette voie ?



J'en doute, mais toi seul peut savoir l'impact qu'auraient des données
incomplètes ou corrompues dans ta base de données. En effet, sans même
parler des utilisateurs honnêtes qui désactivent le javascript (auquel
cas ton script n'aura aucun effet), tu dois savoir que les pirates sont
capables, avec une facilité enfantine, d'envoyer absolument n'importe
quelles données à ton script. Par rapport à ce que tu t'attends à
recevoir, ils peuvent envoyer des valeurs incorrectes pour des champs
existants, mais aussi rajouter des champs imprévus, ou au contraire
supprimer des champs obligatoires.

Et donc, à moins d'un contrôle rigoureux dans le script PHP, tu te
retrouveras avec des valeurs complètement bidons.
Freegate
Le #10857491
Dans son message précédent, Olivier Miakinen a écrit :
Le 29/06/2008 22:13, Freegate a écrit :

Pour savoir si une checkbox n'est pas cochée, il n'y a pas de secret,
il faut chercher la clé dans $_POST. Son absence indique que la case est
décochée. Tu ne peux pas faire autrement.









Et donc, à moins d'un contrôle rigoureux dans le script PHP, tu te
retrouveras avec des valeurs complètement bidons.



En fait je développe une "application" web accessible uniquement en
intranet, voire en extranet.

Et j'ai rajouté une fonction à chaque page qui vérifie si javascript
est activé. en cas de non activation, ça fait un redirect vers une page
de sortie du site.
Olivier Miakinen
Le #10857501
À la relecture, une petite précision me semble nécessaire.

Le 29/06/2008 22:37, je répondais à Freegate :

J'en doute, mais toi seul peut savoir l'impact qu'auraient des données
incomplètes ou corrompues dans ta base de données. En effet, sans même
parler des utilisateurs honnêtes qui désactivent le javascript (auquel
cas ton script n'aura aucun effet),


^^^^^^
Je parlais ici du script JavaScript.

tu dois savoir que les pirates sont
capables, avec une facilité enfantine, d'envoyer absolument n'importe
quelles données à ton script.


^^^^^^
Et là du script PHP.

Par rapport à ce que tu t'attends à
recevoir, ils peuvent envoyer des valeurs incorrectes pour des champs
existants, mais aussi rajouter des champs imprévus, ou au contraire
supprimer des champs obligatoires.

Et donc, à moins d'un contrôle rigoureux dans le script PHP, tu te
retrouveras avec des valeurs complètement bidons.



Voilà.
Mickael Wolff
Le #10858541
Freegate a écrit :
En fait je développe une "application" web accessible uniquement en
intranet, voire en extranet.



Une application web privée quoi ;)

Et j'ai rajouté une fonction à chaque page qui vérifie si javascript est
activé. en cas de non activation, ça fait un redirect vers une page de
sortie du site.



Et en cas de problème de sécurité grave due au javascript, tu fais
comment ?

--
Mickaël Wolff aka Lupus Michaelis
http://lupusmic.org
Mickael Wolff
Le #10858561
Freegate a écrit :
Ce qui veut qu'il faut que j'adape ce code à chaque page car il ne peut
savoir à l'avance si un $_POST[checkbox] est absent ou pas !!!



C'est d'ailleurs un bonne pratique. Ne pas contrôler les entrées de
ton programme t'expose à des risques liés à la sécurité des données de
ton client/patron.

Je te conseille de revoir ton approche de l'application web.
--
Mickaël Wolff aka Lupus Michaelis
http://lupusmic.org
Freegate
Le #11160401
Mickael Wolff a formulé ce lundi :
Freegate a écrit :
En fait je développe une "application" web accessible uniquement en
intranet, voire en extranet.



Une application web privée quoi ;)

Et j'ai rajouté une fonction à chaque page qui vérifie si javascript est
activé. en cas de non activation, ça fait un redirect vers une page de
sortie du site.



Et en cas de problème de sécurité grave due au javascript, tu fais
comment ?



A quoi penses tu ? J'ai du mal à voir où tu veux en venir !!

La fonction de vérification en question n'est pas du javascript. C'est
juste un redirect html inséré dans la balise <script></noscript>
Publicité
Poster une réponse
Anonyme