• <mode reset>
  La question maintenant n'est-elle pas d'ordre conceptuel et non une question d'include ?
  </mode reset>

ici tu stipule que soit la page est definit dans l'url soit on redirige vers l'acceuil c'est ça? (j'ai encore du mal à saisir le sens de ?)

$page = isset($_GET['page']) ? $_GET['page'] : "accueil"; 

<?php
$rep_pages = "./mespages";
$page = isset($_GET['page']) ? $_GET['page'] : "accueil";
/* Petite vérification de sécurité */
if(file_exists($rep_pages ."/". $page))
{
    switch($page)
    {
        case "contact" :
            $afficher = $rep_pages ."/contact.php";
            break;
        case "accueil":
        default :
            $afficher = $rep_pages ."/accueil.php";
    }
}
/* En option une redirection vers une page de félicitation du jury */
else
{
    $afficher = $rep_pages ."/sans-genie.php";
}
include($afficher);
?>

Mais l'exemple n'est pas pertinent, pour quoi effectuer sciemment un include de la page du pirate ?!

Ah ba oui, j'ai pas bien vu le code (il y a un echo) je m'excuse, au temps pour moi Embarassed

Mais l'exemple n'est pas pertinent, pour quoi effectuer sciemment un include de la page du pirate ?!

... code html ...
<?php
include($_GET['page']);
?>

Je te rappelle que le phpinfo() dans ton exemple va afficher la config php du serveur widehost et non pas du localhost qui fait l'include.

<?php echo '<'.'?php phpinfo(); ?'.'>'; ?>

<?php echo phpinfo(); ?>

Et si le développeur de widehost a mis un phpinfo() dans son script c'est qu'il a accepté de publier cette info.

-
Dire que l'inclusion d'un fichier distant n'est pas dangereuse est une hérésie.

http://localhost/include.php

<?php include "http://widehost/included.php"; ?>

http://widehost/included.php

<?php echo '<'.'?php phpinfo(); ?'.'>'; ?>

Ce n'est pas parce que le fichier est sur un serveur distant et donc déjà interprété (et encore, je suis passé outre le fait qu'on peut aussi très bien ne pas interprété le code sur le serveur distant, et renvoyer directement le source à inclure) que ça m'empêchera de lui faire générer du code interprétable par mon fichier local.

<?php include "http://widehost/included.php"; ?>

<?php echo '<'.'?php phpinfo(); ?'.'>'; ?>

Salut tous,

Pour ma part, je ne ferais pas trop confiance à ta méthode sadeq si toutefois tu l'utilises avec un paramètre type $_GET['page']

Car dans ce cas bien précis, l'utilisateur pourra alors passer dans $_GET['page'] une valeur du type http://www.lesitepourri.com/fichierdehack.php

Ce qui veut dire que ton serveur exécutera le fichier ci-dessus... Donc bonjour les ennuis car il pourra alors exécuter ce qu'il veut comme code sur ton serveur, donc s'il est vraiment mal attentioné il pourra supprimer tous tes fichiers...

Le test du file_exists est pour moi primordial avec la notation absolu ainsi que la restriction sur les retours en arrières avec ../ dans les répertoires...

Débat fort intéressant... j'attends les autres propositions pour me faire une idée plus précise....

<?php
if(isset($_GET['page']))
{
include $_GET['page'];
}
else
{
include 'accueil.php';
}
?>

$page = isset($_GET['page']) ? $_GET['page'] : null;

switch($page) {

 case 'contact':
  require_once('contact.php');
 break;

 default:
  require_once('pageParDefaut.php');
 break;
}