C'est effectivement un problème. Il y a deux façons de le résoudre :
1) pour ceux qui peuvent, mettre var/ en dehors de l'arboresence du site, c'est plus secure et ça met à l'abri des problèmes. Je pense insister lourdement sur ce point dans la prochaine version de la documentation et aussi dans le script d'installation. Très lourdement.
2) pour ceux qui ne peuvent pas faire autrement (hébergement de fournisseur d'accès par exemple), faire un gros travail de sensibilitsation à la sécurité (dans la doc) et mettre en place des garde-fous. Un .htaccess existe déjà dans var/ mais il est commenté par défaut vu qu'il faut une intervention dans la configuration Apache (un AllowOverride). Le bug de sécurité dans la 0.1 concernait quelque chose de ce type : quelqu'un pouvait télécharger un .htaccess qui annulait les effets du .htacces dans var/. Maintenant, il est interdit de télécharger un .htaccess. On peut aussi imaginer transformer tous les .php en .phps par exemple pour éviter leur exécution. Mais malgré tous ces garde-fous, il y aura toujours des failles. Donc voir 1).
[^] # Re: Pratique ...
Posté par rewind (Mastodon) . En réponse au journal Jyraphe 0.2. Évalué à 3.
1) pour ceux qui peuvent, mettre var/ en dehors de l'arboresence du site, c'est plus secure et ça met à l'abri des problèmes. Je pense insister lourdement sur ce point dans la prochaine version de la documentation et aussi dans le script d'installation. Très lourdement.
2) pour ceux qui ne peuvent pas faire autrement (hébergement de fournisseur d'accès par exemple), faire un gros travail de sensibilitsation à la sécurité (dans la doc) et mettre en place des garde-fous. Un .htaccess existe déjà dans var/ mais il est commenté par défaut vu qu'il faut une intervention dans la configuration Apache (un AllowOverride). Le bug de sécurité dans la 0.1 concernait quelque chose de ce type : quelqu'un pouvait télécharger un .htaccess qui annulait les effets du .htacces dans var/. Maintenant, il est interdit de télécharger un .htaccess. On peut aussi imaginer transformer tous les .php en .phps par exemple pour éviter leur exécution. Mais malgré tous ces garde-fous, il y aura toujours des failles. Donc voir 1).