Re: [LA-discussions] formulaire web

[Daniel Cartron <dan@xxxxxxxxxxx>]

Le mercredi 14 juillet 2010, Yann a écrit :
> > Je ne le joins pas mais j'ai fait un gros script JS de validation des
> > entrées, visible ici :
> >
> > http://www.ferrier-traiteur.com/scripts.js
> >
> > fonction check() en fin de page (attention il y a des caractères
> > accentuès, en utf8.
> 
> Tant que tu continues à accepter le champ vide, pour ceux qui ne veulent
> pas ou ne peuvent pas donner d'adresse email :)

??? Ben oui je considère que qqun peut faire sa demande à partir d'un cyber 
café par ex.  LA seule chose obligatoire est de fournir au moins une 
coordonnée électronique (mail ou tel)

> > Mais je veux les deux; le mail et le récap affiché sur une page php. JE
> > met une suite au script avec des échos sur les mm trucs ?
> 
> oui, tout simplement.

Bon ej vais tester, mais chuis pas certain de réussir tout seul :-)

> >  > Il faut supprimer complètement le code HTML, PHP et JS, au strict
> >
> > minimum.
> >
> > Là j'ai pas compris :-)
> 
> Dans les textes saisis par le visiteur, il faut supprimer le code HTML,
> PHP ou JS qu'il aurait saisi dans le but de bidouiller avec ta page ou
> ton site. Genre faire un include en clair des variables d'accès à ta
> base de données (afficher le mot de passe), 

yen a pas :-) C'est du pseudo php, en ce sens que j'ai juste 2 include poru 
les entetes et pieds de pages qui sont identiques.

> faire tourner du javascipt
> et créer un exploit XSS, etc.
> 
> Les fonctions strip tags de PHP sont bien utiles pour ça.

OK J'étudie mais je suppose que si je met une regex qui interdit les <> ! et 
autres trucs utilisés pour le code mais jamais dans une adresse, ça devrait le 
faire aussi ? Ha non si on désactive le JS que se passera-t-il ?

-- 
Cordialement, Daniel Cartron
« Tout le monde savait que c'était impossible. Il est venu un imbécile qui ne 
le savait pas et qui l'a fait. »
Marcel Pagnol



---
Liste de discussions de LinuxArverne
http://wiki.linuxarverne.org/listes_de_diffusion