Hebeh.com, hebergement professionnel de sites internet www.hebeh.com

zorteil · Inscrit le: May 16, 2005 Messages: 241 3811 points Lieu de résidence

Tester si une variable est un booléen ou integer
(fonctions de la classe DB)

voici le code de ces fonctions:

GravuTrad · Inscrit le: May 12, 2005 Messages: 3197 40837 points Lieu de résidence

ahh, notre ami zorteil! super de te voir dans le coin!

toujours très passionnants tes posts!

ta proposition pourrait t''elle résoudre ce type de pb?:

http://www.php-maximus.org/Maximus_CMS_posts_viewtopic_2842_0_0_.html

Helger · Inscrit le: Feb 03, 2006 Messages: 2539 30038 points Lieu de résidence

Hello.

Juste un bémol.
Pourquoi ne pas utiliser is_bool(), is_int() et is_numeric() ?

Rolling Eyes

P.S. : Juste pour dire, hein. Mais ré-inventer la roue alors qu''elle existe, ... . Wink

zorteil · Inscrit le: May 16, 2005 Messages: 241 3811 points Lieu de résidence

[quote="Helger"]
Hello.

Juste un bémol.
Pourquoi ne pas utiliser is_bool(), is_int() et is_numeric() ?
[/quote]

le problème c'est que pour tester si c'est un booléen un integer ou un numérique, il faut d'abord convertir en booléen numérique integer, hors les données testées venant souvent d'un post d'un get ou d'une table sont nativement des strings. (j'ai supprimé pour raccourcir ce post le petit script de test écrit pour illustrer la chose.) il aurait montré de plus que is_bool ne considère pas $test=1 ou $test =0 comme des booléens, contrairement à XMFbin: il faudrait donc réécrire Maximus.

en les convertissant on retombe dans le pb de $test = "1250" et $test="1 250" qui renverra des valeurs différentes avec intval() mais toutes deux validées par XMFnum

les fonctions is_quelquechose sont donc utiles pour tester le type, mais pas pour formater (et dans la foulée tester le résultat) en booléen ou integer.
[quote="GravuTrad"]ta proposition pourrait t''elle résoudre ce type de pb?:
http://www.php-maximus.org/Maximus_CMS_posts_viewtopic_2842_0_0_.html
[/quote]

j'ai effectivement rencontré ce pb. je crois bien que c'était dans un module (news ou your_account) la valeur reçue d'une table (exemple user_active de la table users) est testée comme un booléen (XMFbin) alors qu'elle peut valoir 0;1;2;3 ou 4. Quand elle vaut plus de 1, déclenche erreur. Il me semble l'avoir signalé (scripts concernés, modifs à faire), dans mes posts sur mes modifs quand j'avais travaillé (ça doit faire un an) sur les modules news et your_account.

[quote="GravuTrad"]ahh, notre ami zorteil! super de te voir dans le coin!
[/quote]
merci pour ce commentaire sympa. En fait je ne travaille plus depuis quelques temps sur Maximus mais un autre système. De temps en temps, j'ai besoin de vérifier quelquechose sur Maximus et si je vois du code que personnellement je modifierais, je fais un post pour le team de Maximus à qui je transmets mes amitiés.

Cyril · Inscrit le: Apr 26, 2005 Messages: 12237 105314 points Lieu de résidence

salut zorteil

j'ai bien lu et relus ton post, je vais même tester de mon coté

l'idée générale est je pense une bonne progression, reste une chose vers laquelle je voudrait tendre c'est justement d'affecter un type à chaque variable surtout les integer car on les manipule de partout

si justement dans les url on n'a plus que des integer ( et vérifiés comme tel, on élève d'autant le niveau de sécurité puisque les injection via l'url deviennent impossible ( si bien filtré bien évidemment )

c'est dans cette idée que je voulais me servir de ces filtres pour justement affecter un type aux variables

Dans tous les cas je retiens ta solution qui est une bonne évolution.

@ bientôt sur les forums Smile

Helger · Inscrit le: Feb 03, 2006 Messages: 2539 30038 points Lieu de résidence

Hello.

Désolé, mais pas d''accord.
Tu tansformes un string en chiffre, alors que il faudrait quand même régler le problème du script lui-même.
Si un script envoie $var=\"1\";, il n''envoie pas $var=1;.
C''est deux choses différentes et je suis bien d''accord avec toi.

Mais plutôt que de mettre une routine qui transformera le string en interger, double ou autre, faudrait quand même regarder de plus près les erreurs.

Car c''est une erreur.
Continuer dans ce sens et justement un non sens.
Et dire que Max a sa plupart des chiffres-nombres envoyés en string, faut quand même pas exagérer.

Je te redis désolé, mais ta manip ne fait que palier les erreurs d''autrefois.
Stop.
Ne palions pas, corrigeons.

Et là Max sera un grand.
Merci pour lui.

Wink

zorteil · Inscrit le: May 16, 2005 Messages: 241 3811 points Lieu de résidence

[quote="Helger"]Hello.
...
Continuer dans ce sens et justement un non sens.
...
Ne palions pas, corrigeons.
Et là Max sera un grand.
[/quote]

Helger, bienvenue au club: nous sommes donc 2 maintenant à dire cela.
Sur le fond je suis donc d'accord 100% avec tes affirmations (j'avais l'impression de prêcher dans le désert).
Dans le détail, je ne suis pas d'accord avec toi; Cyril le dit bien, c'est un pb de sécurité et l'injection de variables étant ma marotte, je ne vais pas reprendre mes arguments, mais redire une vérité incontournable:
personne ne peut m'empêcher d'injecter des variables avec le contenu de mon choix
hors les fonctions que tu proposes ne filtrent pas. En matière de filtration, j'ai décidé pour ma part de faire simple: soit la variable transmise est strictement conforme à ce que j'attends, soit je stoppe l'exécution.
en effet pour revenir à XMFnum (en l'occurence exemple pas très bien choisi) je ne vais pas me prendre la tête pour savoir si la valeur renvoyée différente de celle que j'attendais peut avoir un potentiel dangereux ou non. Qui me dit que ce n'est pas un moyen de contourner un filtre en amont? surtout si on fait du dévelopement mutualisé.
donc j'élimine toute variable qui à l'évidence n'est pas un integer alors que intval() va en faire un integer avec une valeur que moi je ne maîtrise pas mais dont j'imagine que l'attaquant sait ce qu'il fait.

au départ dans mes routines XMFbin et XMFnum je comparais la longueur de la variable transmise à celle de la variable transformée: il fallait qu'elles soient identiques pour que je valide. En travaillant sur les REGEX j'ai trouvé la solution que je propose, qui fait (sauf erreur de ma part) la même chose en consommant moins de potentiel.

attention aux fausses apparences et aux fausses sécurités: