Comme tu le demandes, j'ai quelques remarques :
- Tu affiches des données venant de l'utilisateur ($_GET, $_POST, et tout ce que tu n'as pas définie toi même) sans les échapper, il est donc possible d'y injecter du code javascript (et voler mots de passe, cookies, comptes, exploiter une faille du navigateur, etc).
- De la même manière tu met des données venant de l'utilisateur directement dans des requêtes SQL, ce qui permet d'injecter / modifier la requête, et ainsi faire un peu ce qu'on veut avec ta base de données.
Pour corriger ces deux problèmes je te conseil de chercher "injection SQL" et "cross site scripting" sur ton moteur de recherche préféré.
Sinon, c'est toujours une bonne idée d'utiliser un framework, si petite l'application soit elle; car ceux-ci ont déjà tout ce qu'il faut pour ce genre de problématiques.
# remarques/critiques
Posté par __o . En réponse au journal PHPGiftIdeas : Gérez vos idées de cadeaux en famille. Évalué à 10.
Bravo pour cette contribution.
Comme tu le demandes, j'ai quelques remarques :
- Tu affiches des données venant de l'utilisateur ($_GET, $_POST, et tout ce que tu n'as pas définie toi même) sans les échapper, il est donc possible d'y injecter du code javascript (et voler mots de passe, cookies, comptes, exploiter une faille du navigateur, etc).
- De la même manière tu met des données venant de l'utilisateur directement dans des requêtes SQL, ce qui permet d'injecter / modifier la requête, et ainsi faire un peu ce qu'on veut avec ta base de données.
Pour corriger ces deux problèmes je te conseil de chercher "injection SQL" et "cross site scripting" sur ton moteur de recherche préféré.
Sinon, c'est toujours une bonne idée d'utiliser un framework, si petite l'application soit elle; car ceux-ci ont déjà tout ce qu'il faut pour ce genre de problématiques.