[RÉGLÉ] Sécuriser un script personnel sql/php

[Visiteur]

Pour les nécessités d'un site en construction, j'ai dû concevoir et publier sur ce site plusieurs scripts en sql/php où apparaissent en clair les "identifiant & mot de passe" pour accéder aux Tables de ma BDD.
Comment blinder ces infos pour les cacher de TOUS ?

Merci.

[manu93fr]

Re : Sécuriser un script personnel sql/php

Bonjour,
je n'ai pas tout compris et je ne suis peut etre pas le seul :
Es tu dans un environnement Joomla ? ou c'est juste des fichiers PHP avec une connexion SQL pour afficher les résultats ?
Si tu es dans l'environnement Joomla, le mieux serait de suivre les API Joomla
Si c'est juste des fichiers PHP ... mettre le fichier contenant le profil de connexion hors de portée, souvent au niveau de www ... et faire un appel a chaque connexion ...

[Visiteur]

Re : Sécuriser un script personnel sql/php

Il s'agit évidemment d'un site Joomla 3.4.8.
Pour répondre à des fonctionnalités inexistantes, j'ai rédigé plusieurs scripts en sql et php (contenant formulaires et requêtes sql).
Dans ces requêtes sql, je suis bien contraint de préciser mes codes d'accès à ma bdd : ce sont eux que je souhaite cacher.
Ces scripts sont enregistrés dans des articles Joomla et activés sur le site par des liens de menu : je suis bien obligé de les mettre en accès public pour être utilisables par tous !

Ps : ma bdd étant liée à mon site dans Joomla, comment pouvoir l'utiliser directement sans avoir à redéfinir les accès ?

@manu93 : je ne comprends pas le dernier conseil dans ton post.

[jisse03]

Re : Sécuriser un script personnel sql/php

Bonjour,

Ces scripts sont enregistrés dans des articles Joomla et activés sur le site par des liens de menu

Donc embarqués via DirectPHP ou autre Sourcerer...
Le code PHP étant interprété directement sur le serveur, il ne sera donc jamais visible. Mais si on veut la sécurité, on utilise les AAPIs Joomla!, exemple:

<?php

$db = JFactory::getDbo();
// soit ensuite, à l'arrache
$db->setQuery( "Select machin FROM #__tructable WHERE bidule='valeur'" ) ;
// soit plus long mais plus propre.
$query = $db->getQuery(true)
        ->select( 'machin' )
               ->from( '#__tructable' )
               ->where( "bidule='valeur'" ) ;
$db->setQuery( $query ) ;
// ensuite
$result = $db->loadObjectList() ; // ou autre load voir JDatabase
// traitement des objets résultat
foreach ( $result AS $record ) 
{
    echo $record->machin ;
}

[Visiteur]

Re : Sécuriser un script personnel sql/php

Bonjour jisse03,

Ta réponse répond parfaitement à mon souci précis.

Pas : une fois encore, grand merci pour tes bons conseils. Et bon dimanche, malgré un temps bien maussade sur la façade atlantique

[manu93fr]

Re : Sécuriser un script personnel sql/php

Il s'agit évidemment d'un site Joomla 3.4.8.

@manu93 : je ne comprends pas le dernier conseil dans ton post.

Oublie le dernier conseil qui ne parle QUE de connexion PHP/SLQ hors contexte Joomla
Comme le reprécise Jisse ... si tu es sous Joomla, il faut utiliser les API Joomla ... ne serait ce par securité