mirror of
https://github.com/php/doc-fr.git
synced 2026-03-23 22:52:18 +01:00
120 lines
4.3 KiB
XML
120 lines
4.3 KiB
XML
<?xml version="1.0" encoding="utf-8"?>
|
|
<!-- $Revision$ -->
|
|
<!-- EN-Revision: f0ed705e1ac34fed4c92979f63bee74c382f991b Maintainer: yannick Status: ready -->
|
|
<!-- Reviewed: yes Maintainer: pmartin -->
|
|
|
|
<chapter xml:id="security.variables" xmlns="http://docbook.org/ns/docbook">
|
|
<title>Données transmises par les internautes</title>
|
|
<para>
|
|
La plus grande faiblesse de nombreux programmes <acronym>PHP</acronym> ne vient pas
|
|
du langage en lui-même, mais de son utilisation en omettant les
|
|
caractéristiques de sécurité. Pour cette raison,
|
|
il est recommandé de toujours prendre le temps de réfléchir aux implications
|
|
d'une portion de code donnée, pour mesurer les éventuels dommages
|
|
qui pourraient être causés si une variable inattendue lui était passée.
|
|
<example>
|
|
<title>Utilisation dangereuse de variables</title>
|
|
<programlisting role="php">
|
|
<![CDATA[
|
|
<?php
|
|
// efface un fichier à la racine d'un utilisateur... ou peut-être
|
|
// de quelqu'un d'autre ?
|
|
unlink($evil_var);
|
|
// Enregistre l'accès dans un log... ou peut-être une entrée dans /etc/passwd ?
|
|
fwrite($fp, $evil_var);
|
|
// Exécute une commande triviale... ou rm -rf * ?
|
|
system($evil_var);
|
|
exec($evil_var);
|
|
?>
|
|
]]>
|
|
</programlisting>
|
|
</example>
|
|
</para>
|
|
<para>
|
|
Il est vivement recommandé d'examiner minutieusement le code
|
|
pour s'assurer qu'il n'y a pas de variable envoyée par le
|
|
client web qui ne soit pas suffisamment vérifié avant utilisation,
|
|
en se posant les questions suivantes :
|
|
<itemizedlist>
|
|
<listitem>
|
|
<simpara>
|
|
Est-ce que ce script n'affectera que les fichiers prévus ?
|
|
</simpara>
|
|
</listitem>
|
|
<listitem>
|
|
<simpara>
|
|
Est-il possible que des valeurs incohérentes ou inattendues soient exploitées ici ?
|
|
</simpara>
|
|
</listitem>
|
|
<listitem>
|
|
<simpara>
|
|
Est-ce que ce script peut être utilisé dans un but différent de celui attendu ?
|
|
</simpara>
|
|
</listitem>
|
|
<listitem>
|
|
<simpara>
|
|
Est-ce que ce script peut être utilisé malicieusement,
|
|
en conjonction avec d'autres ?
|
|
</simpara>
|
|
</listitem>
|
|
<listitem>
|
|
<simpara>
|
|
Est-ce que toutes les actions seront correctement historisées ?
|
|
</simpara>
|
|
</listitem>
|
|
</itemizedlist>
|
|
</para>
|
|
<para>
|
|
En répondant de manière adéquate à ces questions
|
|
lors de l'écriture des scripts (plutôt qu'après), cela
|
|
évitera une réécriture inopportune lorsqu'il faudra améliorer leur
|
|
sécurité. En commençant les projets avec ces recommandations
|
|
en tête, la sécurité du système ne sera pas garantie,
|
|
mais elle s'en trouvera améliorée.
|
|
</para>
|
|
<para>
|
|
Il est recommandé d'améliorer la sécurité en désactivant les paramètres de commodité qui masquent
|
|
l'origine, la validité ou l'intégrité des données en entrée. La création
|
|
implicite de variables et l'absence de vérification des entrées peuvent
|
|
entraîner des vulnérabilités telles que des attaques par injection et des
|
|
manipulations de données.
|
|
</para>
|
|
<para>
|
|
Des fonctionnalités comme <literal>register_globals</literal> et
|
|
<literal>magic_quotes</literal> (toutes deux supprimées à partir de PHP 5.4.0)
|
|
contribuaient autrefois à ces risques en créant automatiquement des variables
|
|
à partir des entrées utilisateur et en échappant les données de manière incohérente.
|
|
Bien qu'elles ne soient plus présentes dans PHP, des risques similaires
|
|
persistent si la gestion des entrées est mal maîtrisée.
|
|
</para>
|
|
<para>
|
|
Activer <link linkend="function.error-reporting">error_reporting(E_ALL)</link>
|
|
pour aider à détecter les variables non initialisées et à valider les entrées.
|
|
Utiliser les types stricts
|
|
(<link linkend="language.types.declarations.strict">declare(strict_types=1)</link>,
|
|
introduit à partir de PHP 7) pour imposer la sécurité des types, éviter
|
|
les conversions involontaires et améliorer la sécurité globale.
|
|
</para>
|
|
</chapter>
|
|
|
|
<!-- Keep this comment at the end of the file
|
|
Local variables:
|
|
mode: sgml
|
|
sgml-omittag:t
|
|
sgml-shorttag:t
|
|
sgml-minimize-attributes:nil
|
|
sgml-always-quote-attributes:t
|
|
sgml-indent-step:1
|
|
sgml-indent-data:t
|
|
indent-tabs-mode:nil
|
|
sgml-parent-document:nil
|
|
sgml-default-dtd-file:"~/.phpdoc/manual.ced"
|
|
sgml-exposed-tags:nil
|
|
sgml-local-catalogs:nil
|
|
sgml-local-ecat-files:nil
|
|
End:
|
|
vim600: syn=xml fen fdm=syntax fdl=2 si
|
|
vim: et tw=78 syn=sgml
|
|
vi: ts=1 sw=1
|
|
-->
|