probleme apres $_GET

[blackduty]

[Isenduil]

http://jeuphp.forumactif.com/viewtopic.forum?t=2125

Cela pourra sans doute t'aider mais je pense que plusieurs avertissements sont à prendre au sérieux :

L'utilisation des frames de cette façon est plutôt contre-productif :

• Totalement illusoire en tant que protection ( il y a mieux que clic/droit etc..., tu regardes simplement où pointe le lien dans la barre de status du navigateur ).
  
• Impossible de bookmarker ou de pointer une page particulière du site ( il me sera impossible de donner à quelqu'un le lien pour le paragraphe 4 de la page 3 des règles du jeu ).
  
• Très mauvais pour le référencement (Google en parle dans ses recommandations).
  
• Pas de gain de bande passante, contrairement un système de frames avec menu dans une frame, contenu dans l'autre.
  

Pour moi le plus simple est :
- de contrôller soigneusement les données transmises par $_GET. Il est facile en php de savoir si les chiffres sont normaux;
- d'éviter la transmission via cette variable de données essentielles et de lui préferez les $_POST, l'inscription dans un fichier ou l'inscription dans une base de donnée...

Bonne continuation !

[Plume]

Toujours garder en tête qu'il ne faut pas faire confiance au visiteur. $_GET c'est un cadeau ! ^^

[blackduty]

Isenduil > n'y a t'il pas moyen de juste retirer le "?relaxer=1" ?

Que l'adresse soit http://monsite.com/aegis/admin/prison.php ne me gene pas le moins du monde.

Dämen> Une autre idée pour faire l'equivalence ?

Merci de vos reponses dans tout les cas

[Loetheri]

Une solution serait de le faire par $_POST ^^
C'est tout aussi attaquable bien que moins accéssible par la plupart des mortelles.

Le pire des joueurs sera celui qui crée aussi un jeu et cherche les trucs

[Isenduil]

Isenduil > n'y a t'il pas moyen de juste retirer le "?relaxer=1" ?

Je ne serais pas te répondre, j'avais juste en tête cet ancien sujet mais je n'ai aucune connaissance particulière et n'ai jamais approfondi la chose.

Personellement, j'use autant que possible des bases de données et j'évite le transfert par $_GET sauf par exemple pour un script de messagerie ou contrôller la permission de l'accès du visiteur est relativement simple...

Après cela, difficile de réellement te donner une alternative sans connaître ton script, du moins pour moi...

Bonne chance

[Plume]

Je ne sais pas si je saisi bien les raisons de ta question, mais je peut te proposer de passer par une page intermédiaire afin de revenir sur la page 'visible' sans cette extension à ton url. Sans formulaire je ne vois pas dans l'immédiat de façon de passer des données d'une page vers une autre autrement que par la methode GET. {XML ?}
Si c'est pour l'aspect, le référencement ou autre, je peux te proposer la réécriture d'url {avec apache}.
Autrement là tout de suite, je vois pas bien ce que je peux proposer. J'pense que ça m'aiderais si tu motivais ta demande ^^

[blackduty]

Bonsoir,

Je vais tenter d'expliquer depuis le début :hahahaha:

En fait, cette page se situe dans un repertoire admin qui est protégé de différentes façons. Cette page ne sera donc accessible qu'a tres peu de personne et j'espere que ce ne sera que des personnes de confiance.

Ce qui me fait "peur", c'est qu'apres avoir cliquer sur le lien "relaxer" ou "pendre/fusiller (je sais plus lequel j'ai mis lol)", il y a un petit reste dans la barre d'adresse.
Or, vu que j'ai appris a ne jamais sous estimer un boulet de l'informatique, je voudrais pas laisser ce reste de $_GET dans la barre pour ne pas une boulette monumentale qui reviendrait a supprimer un personnage qui n'avait rien fait.

Genre, je veux tapoter le matricule pour mettre la personne en prison (le formulaire, juste au dessus de la liste) et en fait, la personne etait en train de taper le chiffre derriere le reste de $_GET qui correspondait a la suppression du perso.
Ce qui reviendrait a supprimer le personnage sans passage par la prison lol.

Donc, c'est pour eviter des boulettes
M'en fous que l'url soit moche ou pas lol
Par conséquent la solution d'une page intermediaire peut etre une idée

[Plume]

Alors je peut te conseiller d'utiliser des boutons à la place des liens. Tu utiliserais 2 champs input

Code :

<input type="hidden" name="relaxer" value="<?=$_POST['id']?>" />
<input type="submit" value="relaxer" />

<< Injection XSS possible: échappez via htmlentities($_POST['id'], ENT_QUOTES, 'utf-8'); (s Xenos)>>


Un exemple en guise de représentation, sachant que tu as aussi la possibilité de le pendre. J'espère que ça te satisfaira, sinon reviens y on va se faire ça