Sécurisation des variables contre une XSS [La Bible de NPDS]

Cette page est en lecture seule. Vous pouvez afficher le texte source, mais ne pourrez pas le modifier. Contactez votre administrateur si vous pensez qu'il s'agit d'une erreur.

====== Sécurisation des variables contre une XSS ======

La variable importée est une valeur numérique :

**ENTIER =>** <code php>settype($variable, "integer");</code>

**REEL =>** <code php>settype($variable, "double");</code>

Cette instruction très simple aura comme effet de trans-typer $variable … donc de transformer une injection XSS (ou autre) en un entier, un réel, … et donc de lui faire perdre son utilité.

**La variable importée est une valeur chaîne de caractères :**

Il n’y a malheureusement pas de solution simple mais si $search est notre variable, alors :

<code php>$search=removeHack(stripslashes(htmlentities(urldecode($search), ENT_NOQUOTES)));</code>

va faire le nécessaire
La variable est une chaîne mais la ligne du dessus transforme trop le résultat :
Dans ce cas removeHack fera le minimum et la ligne :

<code php>$search=removeHack($search);</code>

permet de s’assurer une relative tranquillité