Question au sujet des bases de donnée

[Inconnu]

Ok, merci beaucoup. Mais si il n'y a pas d'ajout extérieur au "staff" du site, ce n'est pas forcement nécessaire si ? Parce que visiblement, ceci est surtout pour les site qui laisse l'internaute agir sur le site, du moins si j'ai bien compris ^^

[Franceserv]

Pour le XSS ... bien que seul le formulaire de connexion sera accessible en public il doit être protégé (surtout de l'injection SQL) donc autant protéger l'ensemble. Bien souvent on a également un formulaire de contact, un livre d'or, un forum etc ...

Pour le CSRF ce sont justement les utilisateurs avec pouvoir (le staff dans votre cas) qui sont visés donc il faut se lancer dans les formulaires via token mais c'est un petit peu plus complexe à mettre en place et pas forcement nécessaire lorsque le site n'est pas important ou n'intéresse pas d'autres personnes.

Le XSS est utilisé principalement par des robots alors que le CSRF est utilisé par des pirates.

[Passionaqua]

Avec PDO, c'est "automatique", même si il faut faire tout de même attentions !
Petit exemple :

Code : Tout sélectionner

<?php
$requete = $bdd->prepare("SELECT * FROM table WHERE pseudo = :pseudo");
$requete->execute(array("pseudo" => $_GET['pseudo']));
?>

PDO protège ce qui rentre dans la BDD. Mais n'effectue rien sur les données HTML et autres.
Pour palier ce problème, il suffit de faire un htmlspecialchars() à l'affichage.