Petite question

[naholyr]

gare aux formulaires POST qui renvoie sur la page en cours, et que le script va détecter comme un refresh

pour ton problème, je pense qu'il n'y a pas de problème. Si le joueur rafraîchit la page en cours, c'est la page en cours qu'il retrouve, incluant le message

À ta place je laisserais courir. Mais si vraiment tu veux lutter, la solution du cookie (en javascript) me paraît pas mal, la détection du refresh selon horace aussi (à condition de changer le test en if (getenv('REQUEST_URI')==$_SESSION['page'] && getenv('REQUEST_METHOD')=='GET')).

[Horace]

Sinon y'a quelques précautions à prendre avec les formulaires pour un code très propre.

- POST plutôt que GET, pour une barre d'adresse clean jolie.
- redirection header('Location: ...') pour éviter que le joueur enregistre en bookmarks la page résultat.
- Vérification de la page d'origine, pour éviter l'usage de bots (triche). Avec variable session ou variable environnement par exemple.
- détection du multi-post (clic multiple). Avec variable session par exemple.
- name/id des input différents des champs SQL (sécurité)
- name/id aléatoires de form+inputs+submit+textarea (gêner les bots)
- parsing des résultats (addslashes, stripslashes, strip_tags...) pour éviter le hack (injection sql)
- Protection anti-bot pour certaines pages (inscription, coin à spam) : génération d'un code sécurisé à recopier : Variable session + création image avec GD. A utiliser avec parcimonie.