Forum : sécuriser ma requete contre injection sql

bonsoir !
j'ai un petit souci (ou gros) qui me bloque et j'aimerai le resoudre avant de passer a l'étape suivante pour terminer mon site , donc le souci c'est que j'aimerai sécuriser les données que je recois sous forme de variable dans le lien url pour que l'utilisateur n'abuse pas injecter n'importe quoi dans l'url et donc j'ai réussi a realisé quelque chose comme ceci , voici mon code complet :

<?php include("en-tete.php"); ?>
<?php include("menu.php"); ?>
<?php
try{
$bdd = new PDO('mysql:host=localhost;dbname=mangas', 'root', '');
}
catch(Exception $e)
{
die('Erreur : '.$e->getMessage());
}
?>
<section>
<article>
<h1 id="a-propos"><img src="image/l-one.png" alt="icon-One Piece" id="icon">Naruto shippuden episode(ID): (Titre)<img src="image/l-one.png" alt="icon one piece" id="icon"></h1>
<div id="video">
<?php
if (isset($_GET'ep']) AND isset($_GET'v'])) // pour vf
 { 
    $reponse = $bdd->prepare('SELECT vf FROM naruto_shippuden WHERE id = ?');
    $reponse->execute(array($_GET'ep']));
while ($donnees = $reponse->fetch())
{
    echo $donnees'vf'];
}}
elseif(isset($_GET'ep']) AND isset($_GET'vo'])) // pour vostfr
 { 
    $reponse = $bdd->prepare('SELECT vostfr FROM naruto_shippuden WHERE id = ?');
    $reponse->execute(array($_GET'ep']));
while ($donnees = $reponse->fetch())
{
    echo $donnees'vostfr'];
}}
else
{
echo 'Erreur !';
}
$reponse->closeCursor();
?>
</div>
</article>
<?php include("pied.php"); ?>
</section>

ce code est biensur pas le bon car lorsque je teste ma page et que je modifie les paramettre dans l'url pour voir si le message (erreur !) s'affiche et bien non rien ne s'affiche et j'ai aucun message d'erreur enfin bon ce code n'est pas totalement complet .
mon objectif c'est de détecter si jamais l'utilisateur a changer l'url pour etre plus clair voici un exemple de mon url (monsite/video.php?ep=1&v=vf).
disant que je suis l'utilisateur méchant et je vais modifié l'url comme ceci (mymangashd/video.php?ep=un&v=11225656)ou(mymangashd/video.php) .
et bien j'aimerai mettre en place un message d'erreur qui s’exécutera dés que l'utilisateur méchant change l'url en entrant des paramètres qui n'existe pas , comme vous avez pu le voir j'ai essayé de vérifié si la variable existe avec la fonction isset() j'ai essayé aussi d'autres fonctions comme empty() /!empty() qui vérifie si la variable et vide ou le contraire et intval() pour vérifie que ma varible contient un nombre sinon il transforme la valeur en 0 .
bref, j'ai pas mal galéré avant de venir demander de l'aide , tout ce que je demande c'est de sécuriser ma page contre les mauvais données recu par un utilisateur malintentionné !
merci pour votre aide en avance et bonne soirée !

37 réponses

Vallyan

Réponse acceptée

Bon, ben t'es presque arrivé, tu as tout ce dont tu as besoin.

Test le code suivant et debug (je l'ai un peu fait a l'arrache, il peut y avoir des petits bugs ...)

<?php include("en-tete.php"); ?>
<?php include("menu.php"); ?>
<?php
    try {
        $bdd = new PDO('mysql:host=localhost;dbname=mangas', 'root', '');
    } catch(Exception $e) {
        die('Erreur : '.$e->getMessage());
    }
    // Vérifie les $_GET
    if( !isset($_GET'ep']) || !is_int($_GET'ep']) ) {
        // Vérifie que l'épisode demandé est un nombre entier
        die("Merci de choisir un épisode valide !");
    } else if( !isset($_GET'v'] || ($_GET'v'] != 'vf' && $_GET'v'] != 'vostfr') ) ) {
        //Vérifie que la version demandées est soit vf soit vostfr
        die("Merci de choisir une version valide !");
    }
    // Récupère l'épisode demandé
    $stmt = $bdd->prepare("SELECT * FROM naruto_shippuden WHERE id = :id");
    $stmt->bindParam(':id', $_GET'ep'], PDO::PARAM_INT);
    $stmt->execute();
    $episodes = $stmt->fetchAll(PDO::FETCH_ASSOC);
    // Vérifie qu'il y a bien un seul épisode retrouvé
    if( count($episode) != 1 ){
        die("Erreur bizarre sur le nombre d'épisodes retrouvés");
    } else {
        // Sinon, stock la première ligne du tableau dans sa propre variable
        $episode = $episodes[0];
    }
?>

<section>
    <article>
        <h1 id="a-propos">
            <img src="image/l-one.png" alt="icon-One Piece" id="icon">
            Naruto shippuden episode <?php echo $episode'id']; ?> : <?php echo $episode'titre']; ?>
            <img src="image/l-one.png" alt="icon one piece" id="icon">
        </h1>
        <div id="video">
            <?php echo $episode$_GET'v']]; ?>
        </div>
    </article>
</section>
<?php include("pied.php"); ?>

Je compte sur toi pour bien lire ce qu'il y a ans ce code et le comprendre, il n'y a rien de compliqué. Par exemple tu peux voir que j'utilise directement la variable $_GET'v'] pour retrouver le lien vers la bonne version. Donc cette variable doit etre soit 'vf', soit 'vostfr'.
Tu peux remarquer aussi que les vérifs sur les variables sont en deux fois, pour plus de clarté et de faciliter a débugger.

Fais les test, modifie le code comme tu le souhaites mais normalement tu dois etre capable de te débrouiller avec ceci.

Bonne chance ;)

muss

Je crois que si tu fais ça s'a pourra marcher:

<?php
// si la variable existe tu affiche ce que tu veux! 
if(isset($_GET'ep']))
{
//bienvenue
}
else
{
 //l'erreur....
}
?>

et après,parce que pour moi c'est mieux de découper ton script.
Alors juste dans la continuité tu fera:

<?php
if(!isset($_GET'ep']))
{
//tu le renvois sur le formulaire!
}
else
{
//bienvenue
}
?>

J'espère apporter une petite aide mais si je crois y'a mieux!

Vallyan

Alors déja a un moment tu fais:

isset($_GET'vo'])

Je pense que tu te plantes entre le nom de la variable et la valeur qu'elle peut prendre.
Ta variable s'appelle toujours v, et elle peut prendre les valeurs 'vf' ou 'vo' c'est ca ? (monsite/video.php?ep=1&v=vf OU monsite/video.php?ep=1&v=vo).

Du coup tu peux déja faire un truc comme ca:

if( isset($_GET'v']) && ( $_GET'v'] == 'vo' || $_GET'v'] == 'vf' ) ){
    // Déja c'est bon pour ta variable $_GET'v'], ici ...
    // - Tu as vérifié qu'elle existait avec isset($_GET'v'])
    // - Tu as aussi vérifié qu'elle avait soit la valeur vo, soit la valeur vf avec ( $_GET'v'] == 'vo' || $_GET'v'] == 'vf' )
}

Ensuite tu peux ajouter une vérification sur $_GET'ep'] et etre sur que c'est un entier:

if( isset($_GET'ep']) && is_int($_GET'ep']) ){
    // Maintenant c'est bon pour ta variable $_GET'ep'] ...
    // - Tu as vérifié qu'elle existait avec isset($_GET'ep'])
    // - Tu as aussi vérifié que c'était un nombre entier avec is_int($_GET'ep'])
}

Ces deux conditions t'assurent de n'avoir aucune fraude possible. Tu peux les imbriquer, ou les combiner en une seule grosse condition:

if( ( isset($_GET'v']) && ( $_GET'v'] == 'vo' || $_GET'v'] == 'vf' ) ) && ( isset($_GET'ep']) && is_int($_GET'ep']) ) ) {
    /* La c'est bon */
} else {
    /* La c'est un vilain hacker ^^ */
}