Sécuriser un formulaire

Par Jonathan Kowalski, lundi 28 mai 2007 à 11:38 :: Technique :: #12 :: rss

Lorsque vous créez des formulaires (de contact par exemple), il subsiste toujours le risque, qu'un individu malveillant tente d'y insérer du code afin d'hacker votre joli site. Nous allons donc voir ici une première base afin de rendre vos scripts un peu plus sécurisés.

Avant de commencer notons que l'élément important de cette sécuristaion est la fonction php htmlspecialchars.
En effet prenons l'exemple d'un formulaire tout simple.

Le formulaire


<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
 <html xmlns="http://www.w3.org/1999/xhtml">
 <head>
 <meta http-equiv="Content-Type" content="text/html; charset=iso-8859-1" />
 <title>Mon formulaire pas sécurisé</title>
 </head>
 <body>
 <form id="form1" name="form1" method="post" action="traitement.php">
 <p>Quel est votre nom ? <input name="nom" type="text" id="nom" size="20" maxlength="20" /></p>
 <p><input type="submit" value="Baptise" /></p>
 </form>
 </body>
 </html>

Dès lors, la page traitement.php que vous pourriez utiliser ressemblerait à ceci :

la page de traitement


<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
 <html xmlns="http://www.w3.org/1999/xhtml">
 <head>
 <meta http-equiv="Content-Type" content="text/html; charset=iso-8859-1" />
 <title>Affiche le nom</title>
 </head>
 <body>
 <p>Bonjour, votre nom est : <?php echo $_POST['nom']; ?></p>
 </body>
 </html>

Ce n'est absolument pas sécurisé !

En effet l'utilisation du echo permet d'inscrire n'importe quel code HTML et est donc une faille potentielle
Mais comment regler ceci me direz-vous. Sechez donc les gouttes de sueur qui perlent sur votre front, la solution existe !

Il faut et il suffit (pour la plupart des utilisateurs en tout cas) de supprimer tout caractère suspicieux et notamment les "<" et ">".
Ca tombe bien une fonction php s'occupe de faire cela très bien, j'ai nommé : htmlspecialchars.
Ainsi htmlspecialchars va remplacer :

"&" (et commercial) qui devient "&"
""" (guillemets doubles) qui devient """ lorsque ENT_NOQUOTES n'est pas utilisée.
"'" (single quote) qui devient "'" uniquement lorsque ENT_QUOTES est utilisée.
"<" (inférieur à) qui devient "<"
">" (supérieur à) qui devient ">"

La fonction s'utilise donc de la manière suivante : string htmlspecialchars ( string string [, int quote_style [, string charset]] ).
Ne vous inquiètez pas, nous allons détailler quelque peu cette fonction et notamment ses arguments.

Les arguments de htmlspecialchars

string string
int quote_style

ENT_COMPAT
ENT_QUOTES
ENT_NOQUOTES

string charset

En définitive, notre page traitement.php ressemblera donc à ça :


<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
 <html xmlns="http://www.w3.org/1999/xhtml">
 <head>
 <meta http-equiv="Content-Type" content="text/html; charset=iso-8859-1" />
 <title>Affiche le nom</title>
 </head>
 <body>
 <p>Bonjour, votre nom est : <?php echo htmlspecialchars($_POST['nom'], ENT_QUOTES); ?></p>
 </body>
 </html>

Voilà, plus de caractères dangereux, c'est là un premier pas vers une plus grande sécurisation de vos formulaires, il ne vous plus plus qu'à vous rendre à vos claviers !

Aller plus loin

N'hésitez pas à vous renseigner sur les fonctions htmlentities ou htmlspecialchars_decode qui pourront peut-être aussi vous servir

Commentaires

1. Le mardi 5 juin 2007 à 08:40, par FoW

Article très intéressant, jusqu'à présent j'utilisais strip_tags en php qui enlève toutes les balises html et php. htmlspecialchars est différent je ne sais pas encore si je vais rester sur strip_tags ou pas.

D'autre part j'utilise en plus stripslashes pour enlever les espaces au début et à la fin de la chaîne de caractère.

2. Le mardi 5 juin 2007 à 12:12, par Jonathan

Je pense que l'utilisation n'est pas exactement la même puisque htmlspecialchars te permet de garder les caractères spéciaux mais en leur enlevant leur "caractère dangereux" alors que strip_tags vire carrèment la balise.
Il faut voir ce que l'on veut faire de notre variable et choisir la fonction la plus adaptée

3. Le vendredi 8 juin 2007 à 16:22, par MrBelette

Bon article

Par contre stripslashes() n'enlève pas d'espace au début et à la fin de chaîne d'une de caractère mais enlève les slash qui échappent les éventuelles quote ou double quote selon le cas.

La fonction php qui enlève les espaces en début et fin de chaîne c'est trim() ^^

4. Le mardi 19 juin 2007 à 23:10, par lars

"Ce n'est absolument pas sécurisé !"

faudrait développer l'idée selon laquelle ce n'est pas sécurisé.
Donner un exemple.

Avec la config PHP de base, à part pour foutre en l'air l'affichage HTML d'une page, je ne vois pas trop où est le manque de sécurité. Quels sont les risques ?

5. Le mercredi 20 juin 2007 à 22:52, par Jonathan

@lars : Il est vrai que sur un simple echo comme dans la page de traitement ici présentée, le risque n'est pas énorme (quoique) cependant cela peut devenir tout de suite plus génant si l'on utilise ses $_post pour fournir une base de données par exemple, le pirate peut, par exemple de cette manière entrer des commandes sql et perturber plus en avant le site.
Enfin, deux sécurités valent mieux qu'une et les bonnes habitudes sont toujours bénéfiques