ConseilsSecurite

Cette page vise à recueillir et présenter les recommandations en matière d’injection de code dans SPIP.

Protegez vos INCLURE

[Erreur...4]Exemple :
<INCLURE{fond=inc-petition}{id_article}{self=#SELF}>

Notes :
-  ainsi on fonde l’url de cache du fragment inclu sur l’url de la page appelante
-  #PAGINATION en interne fait appel à #SELF

Refs : Fil sur spipdev, 5 et 6 Juin 06

Accés restreint

Là c’est pas une protection contre l’injection de code donc c’est hors sujet.

[Erreur...10]Refs : Stéphane Laurent sur spipdev, 7 Juin 06

je ne sais pas si c’est une reference, mais bon, voici un exemple complet avec les articles :
j’ai des groupes de mot "techniques (je les préfixe par un _ pour pouvoir les exclure facilement des boucles mot) que j’affecte aux rubriques : _sq_squelette(un mot par squelette, par exemple « _toto », « _titi »), _sq_securite (0,1 et 4, 0 etant reservé aux admins, 1 aux redacteurs et admins et 4 aux visiteurs authentifiés)

[Erreur...13]Ce squelette va donc gerer la securité, et mettre en place les parametres de squelette, couleur et typo qui seront passés à la feuille de style.

[Erreur...15]$contexte_inclus[’sq_typographie’]=$sq_typographie ;
$contexte_inclus[’sq_couleur’]=$sq_couleur ;
$contexte_inclus[’sq_id_rubrique’]=$sq_id_rubrique ;

[Erreur...17][Erreur...18]

// Securite 
if (strstr($fond, '/')
OR preg_match(',^_,i', $fond)) 
OR preg_match(',^formulaire_,i', $fond)) {
	die ("Faut pas se gener");
}

On aura donc le squelette _article_toto.html appelé si on a affecté le mot _sq_squelettes:_toto à la rubrique ou plus haut dans la hierarchie
dans les squelettes _article, j’appelle :

<link rel="stylesheet" href="style.php3?sq_typographie=[(#ENV{sq_typographie,defaut})]&sq_couleur=[(#ENV{sq_couleur,defaut})]&id_rubrique=[(#ENV{id_rubrique})]&sq_id_rubrique=[(#ENV{sq_id_rubrique})]" type="text/css">

style.php3 appelant un squelette style.html.
J’ai donc une feuille de style calculée et mise en cache par rubrique.