• # Pas mal

    Posté par (site web personnel, Mastodon) . En réponse au journal Cupa : une page web éditable, simplement. Évalué à 10.

    Très bonne idée, ça marche bien, c'est simple, le code n'est pas ultra joli mais très simple et concis, ça charge pas what-mille librairies JS pourries, super :)

    Par contre niveau sécurité...

    $picture_id = $_POST['id'];
// process params
$filename = "../data/img-$picture_id.jpg"; 
<snip />
file_put_contents($filename, $picture_content)

    Outch. Avec ça ton utilisateur peut renommer son fichier img-machin.php.jpg et injecter du code sur ton serveur qui sera exécuté (dépend de ta config apache), ou alors indiquer tenter d'écrire dans un autre répertoire, etc. Idem pour la sauvegarde de texte. Je te suggère de vérifier que ton ID est numérique, ou alors plus simple utiliser un hash MD5/SHA1 comme nom de fichier.

    Je te suggère aussi de vérifier (avec mime_content_type($filename)) le type du fichier avant de l'enregistrer dans le répertoire de l'appli, juste pour être sûr que tu stocke un truc qui ressemble vaguement à une image.

    « Je vois bien à quels excès peut conduire une démocratie d'opinion débridée, je le vis tous les jours. » (Nicolas Sarkozy)