par
nina20 » 11 oct. 2007, 01:32
merci ...
Tout dépend comment tu utilises PDO au sein de ta classe. Tant que tu t'astreins à utiliser les requêtes préparées, il n'y a aucun souci à se faire (quelle que soit la structure du code que tu utilises en amont), puisque l'échappement des données entrantes est réalisé de manière automatique.
C'est à dire que je débute plus ou moins en php, aillant des notions de POO, j'avance relativement vite, et je risque de faire des trucs qui me dépassent en fait.
Ce qui m'étonne, (c'est sans doute que je ne suis pas informé des méthodes d'injection et autres failles), c'est que l'objet de ma classe, si il est corrumpu/intercepté, qu'on peut y avoir accès, on a accès aussi au PDO, et on peut faire des requêtes du coup.
À titre indicatif : Tout ça je comprend pas bien ...
Autre question que je me pose, c'est quand je crée un PDO avec un attribut de connection persistante, pour toute la durée de la session de l'utilisateur :
- est ce que c'est toujours le même objet PDO (de connection à mysql) ou pour chaque session un autre ?
- est ce que je peux utiliser un seul PDO pour tout le monde ?
- dans ce cas, est-ce que je peux le ranger dans une variable $_SERVER ?
- est -ce que les variables $_SERVER sont en tous points inaccessibles à un utilisateur malveillants ?
Je crains que $_SERVER soit en corrélation avec $_SESSION, un tableau par utilisateur ...
N'y a t'il pas un moyen d'avoir une seule connection à la DB, toujours en cours ?
et si oui, quels problemes ça pose ?
hum ... hum ... (me suis laché là).
merci ...
[quote="Calimero"]Tout dépend comment tu utilises PDO au sein de ta classe. Tant que tu t'astreins à utiliser les requêtes préparées, il n'y a aucun souci à se faire (quelle que soit la structure du code que tu utilises en amont), puisque l'échappement des données entrantes est réalisé de manière automatique.[/quote]
C'est à dire que je débute plus ou moins en php, aillant des notions de POO, j'avance relativement vite, et je risque de faire des trucs qui me dépassent en fait.
Ce qui m'étonne, (c'est sans doute que je ne suis pas informé des méthodes d'injection et autres failles), c'est que l'objet de ma classe, si il est corrumpu/intercepté, qu'on peut y avoir accès, on a accès aussi au PDO, et on peut faire des requêtes du coup.
À titre indicatif : Tout ça je comprend pas bien ...
Autre question que je me pose, c'est quand je crée un PDO avec un attribut de connection persistante, pour toute la durée de la session de l'utilisateur :
- est ce que c'est toujours le même objet PDO (de connection à mysql) ou pour chaque session un autre ?
- est ce que je peux utiliser un seul PDO pour tout le monde ?
- dans ce cas, est-ce que je peux le ranger dans une variable $_SERVER ?
- est -ce que les variables $_SERVER sont en tous points inaccessibles à un utilisateur malveillants ?
Je crains que $_SERVER soit en corrélation avec $_SESSION, un tableau par utilisateur ...
N'y a t'il pas un moyen d'avoir une seule connection à la DB, toujours en cours ?
et si oui, quels problemes ça pose ?
hum ... hum ... (me suis laché là).