Adapter un composant de manière correcte

[jisse03]

Re : Adapter un composant de manière correcte

ah moi qui pensais que Joomla gérait tout à travers "l'abstraction de BDD"

Bah sur mes vieilles requêtes je vérifiais le type des données, y'avait du mysql_real_escape_string et les variables étaient ajoutées à la requête avec la fonction sprintf. Normalement ça devait couvrir pas mal de pb

En gros, ça couvre 20% des problèmes d'injection possibles.
L'injection SQL est une de ces choses très subtiles, que même les experts ont du mal à envisager dans sa globalité.

La sécurité des sites dynamiques st devenue, depuis quelque temps, une des priorités des forums experts en sécurité, surtout après les intrusions réussies dans des sites supposés archi sécurisés (banques entre autres..)

[xav13]

Re : Adapter un composant de manière correcte

oui bien sur LOL c'était plus pour le concept.

Je vais encore un peu étudier la question mais je pense que je vais tenter. C'est 20$ mais si je gagne des heures grâce à ça ...

[jisse03]

Re : Adapter un composant de manière correcte

Que penses-tu de http://extensions.joomla.org/extensions/edition/custom-code-in-content/15378?
Ca me permettrait d'intégrer mes trucs brut de décoffrage sans brusquer Joomla non ? Par contre je ne trouve que lui et il est payant :'(

Je n'ai pas testé ce truc là

Si ça se trouve, il peut résoudre ton problème, mais vu qu'il est payant, je n'ai pas envie de faire bouillir ma CB juste pour tester et examiner son codfe

[xav13]

Re : Adapter un composant de manière correcte

Que penses-tu de http://extensions.joomla.org/extensi...VudCI7fQ%3D%3D ?

Ca me permettrait d'intégrer mes trucs brut de décoffrage sans brusquer Joomla non ? Par contre je ne trouve que lui et il est payant :'(

[xav13]

Re : Adapter un composant de manière correcte

ah moi qui pensais que Joomla gérait tout à travers "l'abstraction de BDD"

Bah sur mes vieilles requêtes je vérifiais le type des données, y'avait du mysql_real_escape_string et les variables étaient ajoutées à la requête avec la fonction sprintf. Normalement ça devait couvrir pas mal de pb

[jisse03]

Re : Adapter un composant de manière correcte

Pour ce qui touche au SQL, je ne suis pas un expert en sécurité, mais j'ai intégrer au maximum les conseils des différents tuto que j'ai pu voir. Mais de toute façon il faut que je réécrive mes requêtes dans le format Joomla donc cet aspect là ne pose pas problème j'imagine

Merci pour toutes tes réponses ! je vais faire des tests pour voir les limites de la bidouille et si c'est gérable tel quel ou pas.

Le SQL bancale, c'est dans 95% des cas le point faible.
D'où le nombre effarant de failles sur des sites en PHP/SQL (MySQL, postgreSQL, Oracle, DB2...) qui ont des graves problèmes. La réécriture des requêtes ne change pas grand chose, sous Joomla! on utilise une abstraction de base de données. Mais si une requête a une faille, la réécriture ne la comblera pas.

[xav13]

Re : Adapter un composant de manière correcte

Oui pour le filtrage des GET POST.

Pour les sessions et cookies je ne m'y suis pas encore intéressé. J'imagine que pour les sessions je devrais reprendre la méthode qui se fait sur Joomla. Les cookies je n'en utilisais pas avant avec mes composants du coup je ne pense pas y toucher la non plus.

Pour ce qui touche au SQL, je ne suis pas un expert en sécurité, mais j'ai intégrer au maximum les conseils des différents tuto que j'ai pu voir. Mais de toute façon il faut que je réécrive mes requêtes dans le format Joomla donc cet aspect là ne pose pas problème j'imagine

Merci pour toutes tes réponses ! je vais faire des tests pour voir les limites de la bidouille et si c'est gérable tel quel ou pas.

[jisse03]

Re : Adapter un composant de manière correcte

Je pourrais bien récupérer les quelques variables de Joomla qui m'intéresse pour mon composant non?

ça tu peux toujours, mais c'est loin d'être optimal.

L'éternel problème à résoudre est la compréhension du "comment ça marche".

ça ressemble plus à du bricolage, avec tous les impacts sur la sécurité qu'implique ce genre de truc "à la sauvage" qu'à quelque chose de viable et maintenable à long terme.


Ton "composant" filtre-t-il correcement les GET et POST ?
Gère-t-il correctement (c'est à dire en conformité Joomla! les sessions et l'environnement, ainsi que les cookies ?


Et plus grave, s'il permet des insertions en base de données, est-il vraiment blindé contre les injections SQL ou le RFI ou LFI ?

[xav13]

Re : Adapter un composant de manière correcte

haha

Je pourrais bien récupérer les quelques variables de Joomla qui m'intéresse pour mon composant non?

1) L'intégration au CMS de manière sauvage c'est pas grave non? J'appellerai systématiquement mon composant avec index.php?option=com_x&etc .

2) Côté admin pas besoin de code, phpmyadmin suffit pour gérer les données que j'aies.

Je viens de mettre mon ancien controller en procédural à la place de la partie ci-dessous et ça a l'air de marcher !

<?php
// No direct access to this file
defined('_JEXEC') or die('Restricted access');
 
// import joomla controller library
jimport('joomla.application.component.controller');
 
// Get an instance of the controller prefixed by HelloWorld
$controller = JController::getInstance('HelloWorld');
 
// Perform the Request task
$controller->execute(JRequest::getCmd('task'));
 
// Redirect if set by the controller
$controller->redirect();

[jisse03]

Re : Adapter un composant de manière correcte

Hehe je ne doute pas de l'utilité de la POO mais le principal argument du code réutilisable ne me concerne pas (même s'il y en a d'autres).

N'y a-t-il pas de compromis/solution en intégrant les classes minimum nécessaire pour que Joomla s'y retrouve et puis intégrer du code en procédural dedans?

Hum,

le code "hybride", ça a fait partie du concept Ada, dans les années 80, le résultat étant en général totalement impossible à maintenir.

Il y a eu aussi la tentative du même genre avec le langage "D", hybride de C++ et de C classique, avec les mêmes résultats...

Et tenter de caser du pur procédural dans un environnement purement objet est souvent aussi simple que de faire entrer un coin carré dans un trou rond...

[xav13]

Re : Adapter un composant de manière correcte

Hehe je ne doute pas de l'utilité de la POO mais le principal argument du code réutilisable ne me concerne pas (même s'il y en a d'autres).

N'y a-t-il pas de compromis/solution en intégrant les classes minimum nécessaire pour que Joomla s'y retrouve et puis intégrer du code en procédural dedans?

[jisse03]

Re : Adapter un composant de manière correcte

Merci pour ta réponse.

J'ai regardé les tuto déjà mais c'est de la POO, que je maitrise mal, et que je ne compte pas apprendre (c'est mon unique projet web et il n'y en aura pas d'autre).

Le top aurait été de pouvoir directement mettre mon code en procédural

Même mes requêtes mysqli sont à refaire j'ai l'impression :/

Joomla! étant un CMS orienté objet, il est logique qu'il soit intégralement basé sur la POO, le procédural étant une vielle école considérée par tous les développeurs actuels comme obsolète.

En procédural, il ne reste guère que WordPress, avec ses patches qui sont du genre plat de spaghetti, et sa multitude de variables globales (et là, on a le risque d'écrasement de variables entre les divers addons...)

La POO est une logique. Une classe est un objet métier, qui réalise quelque chose. Une "application" (ou objet métier) devient un objet avec des instances (création d'un objet de cette classe), des méthodes (les fonctions en procédural) et des propriétés (les variables en procédural). Une instance d'un objet étant une boite noire, qui discute avec les autres par des appels de méthodes.

ça peut sembler compliqué, mais c'est extrêment logique et ça permet de cerner bien plus vite les problèmes. De plus un avantage de ces objets est de permettre une réutilisation facile, et surtout un dialogue avec d'autres objets.

[xav13]

Re : Adapter un composant de manière correcte

Merci pour ta réponse.

J'ai regardé les tuto déjà mais c'est de la POO, que je maitrise mal, et que je ne compte pas apprendre (c'est mon unique projet web et il n'y en aura pas d'autre).

Le top aurait été de pouvoir directement mettre mon code en procédural

Même mes requêtes mysqli sont à refaire j'ai l'impression :/

[jisse03]

Re : Adapter un composant de manière correcte

Bonjour,

Cela pose-t-il problème de n'utiliser aucune des classes joomla et d'appeler le composant par des external links avec la bonne url ?

On appelle ça un "wrapper" ou encapsuleur. Et le code encapsulé n'ayant rien à voir avec Joomla!, il n'en a aucune des fonctionalités.

La bonne méthode est de passer par le "carcan" qui s'appelle, quel que soit le CMS (Joomla!, Drupal, ezPublish...) une API. Dans ce cas, convertir ce code "alien" en composant Joomla!, en lisant des tutos et en ayant constamment les apis sous les yeux..

Références: http://developer.joomla.org/ et http://developer.joomla.org/

[xav13]

Bonjour,

Je souhaite adapter des composants que j'avais codé à Joomla. Malheureusement, il faut s'adapter à un carcan que je trouve assez complexe pour créer un "vrai" composant Joomla.

Cela pose-t-il problème de n'utiliser aucune des classes joomla et d'appeler le composant par des external links avec la bonne url ?

Vais-je perdre certaines fonctionnalités?


Merci pour vos avis.