spip / SPIP

ecrire/balise/formulaire_.php

Indentation +248 added lines, -248 removed lines

@@ -15,7 +15,7 @@ 
  * @package SPIP\Core\Formulaires
  **/
 if (!defined('_ECRIRE_INC_VERSION')) {
-	return;
+    return;
 }
 
 include_spip('inc/filtres');
@@ -34,19 +34,19 @@ 
  *     Saisie protégée
  **/
 function protege_champ($texte) {
-	if (is_array($texte)) {
-		return array_map('protege_champ', $texte);
-	} elseif ($texte === null) {
-		return $texte;
-	} elseif (is_bool($texte)) {
-		return $texte ? '1' : '';
-	} elseif (is_string($texte) and $texte) {
-		if (strpbrk($texte, "&\"'<>") !== false) {
-			return spip_htmlspecialchars($texte, ENT_QUOTES);
-		}
-	}
-
-	return $texte;
+    if (is_array($texte)) {
+        return array_map('protege_champ', $texte);
+    } elseif ($texte === null) {
+        return $texte;
+    } elseif (is_bool($texte)) {
+        return $texte ? '1' : '';
+    } elseif (is_string($texte) and $texte) {
+        if (strpbrk($texte, "&\"'<>") !== false) {
+            return spip_htmlspecialchars($texte, ENT_QUOTES);
+        }
+    }
+
+    return $texte;
 }
 
 /**
@@ -60,17 +60,17 @@ 
  *     - false : pas de squelette trouvé
  **/
 function existe_formulaire($form) {
-	if (substr($form, 0, 11) == 'FORMULAIRE_') {
-		$form = strtolower(substr($form, 11));
-	} else {
-		$form = strtolower($form);
-	}
+    if (substr($form, 0, 11) == 'FORMULAIRE_') {
+        $form = strtolower(substr($form, 11));
+    } else {
+        $form = strtolower($form);
+    }
 
-	if (!$form) {
-		return '';
-	} // on ne sait pas, le nom du formulaire n'est pas fourni ici
+    if (!$form) {
+        return '';
+    } // on ne sait pas, le nom du formulaire n'est pas fourni ici
 
-	return trouver_fond($form, 'formulaires/') ? $form : false;
+    return trouver_fond($form, 'formulaires/') ? $form : false;
 }
 
 /**
@@ -79,31 +79,31 @@ 
  * @return false|array
  */
 function test_formulaire_inclus_par_modele() {
-	$trace = debug_backtrace(0, 20);
-	$trace_fonctions = array_column($trace, 'function');
-	$trace_fonctions = array_map('strtolower', $trace_fonctions);
-
-	// regarder si un flag a ete leve juste avant l'appel de balise_FORMULAIRE_dyn
-	if (
-		function_exists('arguments_balise_dyn_depuis_modele')
-		and $form = arguments_balise_dyn_depuis_modele(null, 'read')
-	) {
-		if (in_array('balise_formulaire__dyn', $trace_fonctions)) {
-			$k = array_search('balise_formulaire__dyn', $trace_fonctions);
-			if ($trace[$k]['args'][0] === $form) {
-				return $trace[$k]['args'];
-			}
-		}
-	}
-
-	// fallback qui ne repose pas sur le flag lie a l'analyse de contexte_compil,
-	// mais ne marche pas si executer_balise_dynamique est appelee via du php dans le squelette
-	if (in_array('eval', $trace_fonctions) and in_array('inclure_modele', $trace_fonctions)) {
-		$k = array_search('inclure_modele', $trace_fonctions);
-		// les arguments de recuperer_fond() passes par inclure_modele()
-		return $trace[$k - 1]['args'][1]['args'];
-	}
-	return false;
+    $trace = debug_backtrace(0, 20);
+    $trace_fonctions = array_column($trace, 'function');
+    $trace_fonctions = array_map('strtolower', $trace_fonctions);
+
+    // regarder si un flag a ete leve juste avant l'appel de balise_FORMULAIRE_dyn
+    if (
+        function_exists('arguments_balise_dyn_depuis_modele')
+        and $form = arguments_balise_dyn_depuis_modele(null, 'read')
+    ) {
+        if (in_array('balise_formulaire__dyn', $trace_fonctions)) {
+            $k = array_search('balise_formulaire__dyn', $trace_fonctions);
+            if ($trace[$k]['args'][0] === $form) {
+                return $trace[$k]['args'];
+            }
+        }
+    }
+
+    // fallback qui ne repose pas sur le flag lie a l'analyse de contexte_compil,
+    // mais ne marche pas si executer_balise_dynamique est appelee via du php dans le squelette
+    if (in_array('eval', $trace_fonctions) and in_array('inclure_modele', $trace_fonctions)) {
+        $k = array_search('inclure_modele', $trace_fonctions);
+        // les arguments de recuperer_fond() passes par inclure_modele()
+        return $trace[$k - 1]['args'][1]['args'];
+    }
+    return false;
 }
 
 /**
@@ -118,19 +118,19 @@ 
  **/
 function balise_FORMULAIRE__dist($p) {
 
-	// Cas d'un #FORMULAIRE_TOTO inexistant : renvoyer la chaine vide.
-	// mais si #FORMULAIRE_{toto} on ne peut pas savoir a la compilation, continuer
-	if (existe_formulaire($p->nom_champ) === false) {
-		$p->code = "''";
-		$p->interdire_scripts = false;
+    // Cas d'un #FORMULAIRE_TOTO inexistant : renvoyer la chaine vide.
+    // mais si #FORMULAIRE_{toto} on ne peut pas savoir a la compilation, continuer
+    if (existe_formulaire($p->nom_champ) === false) {
+        $p->code = "''";
+        $p->interdire_scripts = false;
 
-		return $p;
-	}
+        return $p;
+    }
 
-	// sinon renvoyer un code php dynamique
-	$p = calculer_balise_dynamique($p, $p->nom_champ, []);
+    // sinon renvoyer un code php dynamique
+    $p = calculer_balise_dynamique($p, $p->nom_champ, []);
 
-	return $p;
+    return $p;
 }
 
 /**
@@ -150,17 +150,17 @@ 
  *     - string : texte à afficher directement
  */
 function balise_FORMULAIRE__dyn($form, ...$args) {
-	$form = existe_formulaire($form);
-	if (!$form) {
-		return '';
-	}
+    $form = existe_formulaire($form);
+    if (!$form) {
+        return '';
+    }
 
-	$contexte = balise_FORMULAIRE__contexte($form, $args);
-	if (!is_array($contexte)) {
-		return $contexte;
-	}
+    $contexte = balise_FORMULAIRE__contexte($form, $args);
+    if (!is_array($contexte)) {
+        return $contexte;
+    }
 
-	return ["formulaires/$form", 3600, $contexte];
+    return ["formulaires/$form", 3600, $contexte];
 }
 
 /**
@@ -175,85 +175,85 @@ 
  *     string: Formulaire non applicable (message d’explication)
  **/
 function balise_FORMULAIRE__contexte($form, $args) {
-	// tester si ce formulaire vient d'etre poste (memes arguments)
-	// pour ne pas confondre 2 #FORMULAIRES_XX identiques sur une meme page
-	// si poste, on recupere les erreurs
-
-	$je_suis_poste = false;
-	if (
-		$post_form = _request('formulaire_action')
-		and $post_form == $form
-		and $p = _request('formulaire_action_args')
-		and is_array($p = decoder_contexte_ajax($p, $post_form))
-	) {
-		// enlever le faux attribut de langue masque
-		array_shift($p);
-		if (formulaire__identifier($form, $args, $p)) {
-			$je_suis_poste = true;
-		}
-	}
-
-	$editable = true;
-	$erreurs = $post = [];
-	if ($je_suis_poste) {
-		$post = traiter_formulaires_dynamiques(true);
-		$e = "erreurs_$form";
-		$erreurs = $post[$e] ?? [];
-		$editable = "editable_$form";
-		$editable = (!isset($post[$e]))
-			|| (is_countable($erreurs) ? count($erreurs) : 0)
-			|| (isset($post[$editable]) && $post[$editable]);
-	}
-
-	$valeurs = formulaire__charger($form, $args, $je_suis_poste);
-
-	// si $valeurs n'est pas un tableau, le formulaire n'est pas applicable
-	// C'est plus fort qu'editable qui est gere par le squelette
-	// Idealement $valeur doit etre alors un message explicatif.
-	if (!is_array($valeurs)) {
-		return is_string($valeurs) ? $valeurs : '';
-	}
-
-	// charger peut passer une action si le formulaire ne tourne pas sur self()
-	// ou une action vide si elle ne sert pas
-	$action = $valeurs['action'] ?? self('&amp;', true);
-	// bug IEx : si action finit par /
-	// IE croit que le <form ... action=../ > est autoferme
-	if (substr($action, -1) == '/') {
-		// on ajoute une ancre pour feinter IE, au pire ca tue l'ancre qui finit par un /
-		$action .= '#';
-	}
-
-	// recuperer la saisie en cours si erreurs
-	// seulement si c'est ce formulaire qui est poste
-	// ou si on le demande explicitement par le parametre _forcer_request = true
-	$dispo = ($je_suis_poste || (isset($valeurs['_forcer_request']) && $valeurs['_forcer_request']));
-	foreach (array_keys($valeurs) as $champ) {
-		if ($champ[0] !== '_' and !in_array($champ, ['message_ok', 'message_erreur', 'editable'])) {
-			if ($dispo and (($v = _request($champ)) !== null)) {
-				$valeurs[$champ] = $v;
-			}
-			// nettoyer l'url des champs qui vont etre saisis
-			if ($action) {
-				$action = parametre_url($action, $champ, '');
-			}
-			// proteger les ' et les " dans les champs que l'on va injecter
-			$valeurs[$champ] = protege_champ($valeurs[$champ]);
-		}
-	}
-
-	if ($action) {
-		// nettoyer l'url
-		$action = parametre_url($action, 'formulaire_action', '');
-		$action = parametre_url($action, 'formulaire_action_args', '');
-		$action = parametre_url($action, 'formulaire_action_sign', '');
-	}
-
-	/**
-	 * @deprecated 4.0
-	 * servait pour poster sur les actions de type editer_xxx() qui ne prenaient pas d'argument autrement que par _request('arg') et pour lesquelles il fallait donc passer un hash valide
-	 */
-	/*
+    // tester si ce formulaire vient d'etre poste (memes arguments)
+    // pour ne pas confondre 2 #FORMULAIRES_XX identiques sur une meme page
+    // si poste, on recupere les erreurs
+
+    $je_suis_poste = false;
+    if (
+        $post_form = _request('formulaire_action')
+        and $post_form == $form
+        and $p = _request('formulaire_action_args')
+        and is_array($p = decoder_contexte_ajax($p, $post_form))
+    ) {
+        // enlever le faux attribut de langue masque
+        array_shift($p);
+        if (formulaire__identifier($form, $args, $p)) {
+            $je_suis_poste = true;
+        }
+    }
+
+    $editable = true;
+    $erreurs = $post = [];
+    if ($je_suis_poste) {
+        $post = traiter_formulaires_dynamiques(true);
+        $e = "erreurs_$form";
+        $erreurs = $post[$e] ?? [];
+        $editable = "editable_$form";
+        $editable = (!isset($post[$e]))
+            || (is_countable($erreurs) ? count($erreurs) : 0)
+            || (isset($post[$editable]) && $post[$editable]);
+    }
+
+    $valeurs = formulaire__charger($form, $args, $je_suis_poste);
+
+    // si $valeurs n'est pas un tableau, le formulaire n'est pas applicable
+    // C'est plus fort qu'editable qui est gere par le squelette
+    // Idealement $valeur doit etre alors un message explicatif.
+    if (!is_array($valeurs)) {
+        return is_string($valeurs) ? $valeurs : '';
+    }
+
+    // charger peut passer une action si le formulaire ne tourne pas sur self()
+    // ou une action vide si elle ne sert pas
+    $action = $valeurs['action'] ?? self('&amp;', true);
+    // bug IEx : si action finit par /
+    // IE croit que le <form ... action=../ > est autoferme
+    if (substr($action, -1) == '/') {
+        // on ajoute une ancre pour feinter IE, au pire ca tue l'ancre qui finit par un /
+        $action .= '#';
+    }
+
+    // recuperer la saisie en cours si erreurs
+    // seulement si c'est ce formulaire qui est poste
+    // ou si on le demande explicitement par le parametre _forcer_request = true
+    $dispo = ($je_suis_poste || (isset($valeurs['_forcer_request']) && $valeurs['_forcer_request']));
+    foreach (array_keys($valeurs) as $champ) {
+        if ($champ[0] !== '_' and !in_array($champ, ['message_ok', 'message_erreur', 'editable'])) {
+            if ($dispo and (($v = _request($champ)) !== null)) {
+                $valeurs[$champ] = $v;
+            }
+            // nettoyer l'url des champs qui vont etre saisis
+            if ($action) {
+                $action = parametre_url($action, $champ, '');
+            }
+            // proteger les ' et les " dans les champs que l'on va injecter
+            $valeurs[$champ] = protege_champ($valeurs[$champ]);
+        }
+    }
+
+    if ($action) {
+        // nettoyer l'url
+        $action = parametre_url($action, 'formulaire_action', '');
+        $action = parametre_url($action, 'formulaire_action_args', '');
+        $action = parametre_url($action, 'formulaire_action_sign', '');
+    }
+
+    /**
+     * @deprecated 4.0
+     * servait pour poster sur les actions de type editer_xxx() qui ne prenaient pas d'argument autrement que par _request('arg') et pour lesquelles il fallait donc passer un hash valide
+     */
+    /*
 	if (isset($valeurs['_action'])) {
 		$securiser_action = charger_fonction('securiser_action', 'inc');
 		$secu = $securiser_action(reset($valeurs['_action']), end($valeurs['_action']), '', -1);
@@ -263,59 +263,59 @@ 
 	}
 	*/
 
-	// empiler la lang en tant que premier argument implicite du CVT
-	// pour permettre de la restaurer au moment du Verifier et du Traiter
-	array_unshift($args, $GLOBALS['spip_lang']);
-
-	$valeurs['formulaire_args'] = encoder_contexte_ajax($args, $form);
-	$valeurs['erreurs'] = $erreurs;
-	$valeurs['action'] = $action;
-	$valeurs['form'] = $form;
-
-	$valeurs['formulaire_sign'] = '';
-	if (!empty($GLOBALS['visiteur_session']['id_auteur'])) {
-		$securiser_action = charger_fonction('securiser_action', 'inc');
-		$secu = $securiser_action($valeurs['form'], $valeurs['formulaire_args'], '', -1);
-		$valeurs['formulaire_sign'] = $secu['hash'];
-	}
-
-	if (!isset($valeurs['id'])) {
-		$valeurs['id'] = 'new';
-	}
-	// editable peut venir de charger() ou de traiter() sinon
-	if (!isset($valeurs['editable'])) {
-		$valeurs['editable'] = $editable;
-	}
-	// dans tous les cas, renvoyer un espace ou vide (et pas un booleen)
-	$valeurs['editable'] = ($valeurs['editable'] ? ' ' : '');
-
-	if ($je_suis_poste) {
-		$valeurs['message_erreur'] = '';
-		if (isset($erreurs['message_erreur'])) {
-			$valeurs['message_erreur'] = $erreurs['message_erreur'];
-		}
-
-		$valeurs['message_ok'] = '';
-		if (isset($post["message_ok_$form"])) {
-			$valeurs['message_ok'] = $post["message_ok_$form"];
-		} elseif (isset($erreurs['message_ok'])) {
-			$valeurs['message_ok'] = $erreurs['message_ok'];
-		}
-
-		// accessibilite : encapsuler toutes les erreurs dans un role='alert'
-		// uniquement si c'est une string et au premier niveau (on ne touche pas au tableaux)
-		// et si $k ne commence pas par un _ (c'est bien une vrai erreur sur un vrai champ)
-		if (html5_permis()) {
-			foreach ($erreurs as $k => $v) {
-				if (is_string($v) and strlen(trim($v)) and strpos($k, '_') !== 0) {
-					// on encapsule dans un span car ces messages sont en general simple, juste du texte, et deja dans un span dans le form
-					$valeurs['erreurs'][$k] = "<span role='alert'>" . $erreurs[$k] . '</span>';
-				}
-			}
-		}
-	}
-
-	return $valeurs;
+    // empiler la lang en tant que premier argument implicite du CVT
+    // pour permettre de la restaurer au moment du Verifier et du Traiter
+    array_unshift($args, $GLOBALS['spip_lang']);
+
+    $valeurs['formulaire_args'] = encoder_contexte_ajax($args, $form);
+    $valeurs['erreurs'] = $erreurs;
+    $valeurs['action'] = $action;
+    $valeurs['form'] = $form;
+
+    $valeurs['formulaire_sign'] = '';
+    if (!empty($GLOBALS['visiteur_session']['id_auteur'])) {
+        $securiser_action = charger_fonction('securiser_action', 'inc');
+        $secu = $securiser_action($valeurs['form'], $valeurs['formulaire_args'], '', -1);
+        $valeurs['formulaire_sign'] = $secu['hash'];
+    }
+
+    if (!isset($valeurs['id'])) {
+        $valeurs['id'] = 'new';
+    }
+    // editable peut venir de charger() ou de traiter() sinon
+    if (!isset($valeurs['editable'])) {
+        $valeurs['editable'] = $editable;
+    }
+    // dans tous les cas, renvoyer un espace ou vide (et pas un booleen)
+    $valeurs['editable'] = ($valeurs['editable'] ? ' ' : '');
+
+    if ($je_suis_poste) {
+        $valeurs['message_erreur'] = '';
+        if (isset($erreurs['message_erreur'])) {
+            $valeurs['message_erreur'] = $erreurs['message_erreur'];
+        }
+
+        $valeurs['message_ok'] = '';
+        if (isset($post["message_ok_$form"])) {
+            $valeurs['message_ok'] = $post["message_ok_$form"];
+        } elseif (isset($erreurs['message_ok'])) {
+            $valeurs['message_ok'] = $erreurs['message_ok'];
+        }
+
+        // accessibilite : encapsuler toutes les erreurs dans un role='alert'
+        // uniquement si c'est une string et au premier niveau (on ne touche pas au tableaux)
+        // et si $k ne commence pas par un _ (c'est bien une vrai erreur sur un vrai champ)
+        if (html5_permis()) {
+            foreach ($erreurs as $k => $v) {
+                if (is_string($v) and strlen(trim($v)) and strpos($k, '_') !== 0) {
+                    // on encapsule dans un span car ces messages sont en general simple, juste du texte, et deja dans un span dans le form
+                    $valeurs['erreurs'][$k] = "<span role='alert'>" . $erreurs[$k] . '</span>';
+                }
+            }
+        }
+    }
+
+    return $valeurs;
 }
 
 /**
@@ -327,51 +327,51 @@ 
  * @return array
  */
 function formulaire__charger($form, $args, $poste) {
-	if ($charger_valeurs = charger_fonction('charger', "formulaires/$form", true)) {
-		$valeurs = $charger_valeurs(...$args);
-	} else {
-		$valeurs = [];
-	}
-
-	$valeurs = pipeline(
-		'formulaire_charger',
-		[
-			'args' => ['form' => $form, 'args' => $args, 'je_suis_poste' => $poste],
-			'data' => $valeurs
-		]
-	);
-
-	// prise en charge CVT multi etape
-	if (is_array($valeurs) and isset($valeurs['_etapes'])) {
-		include_spip('inc/cvt_multietapes');
-		$valeurs = cvtmulti_formulaire_charger_etapes(
-			['form' => $form, 'args' => $args, 'je_suis_poste' => $poste],
-			$valeurs
-		);
-	}
-
-	// si $valeurs et false ou une chaine, pas de formulaire, donc pas de pipeline !
-	if (is_array($valeurs)) {
-		if (!isset($valeurs['_pipelines'])) {
-			$valeurs['_pipelines'] = [];
-		}
-		// l'ancien argument _pipeline devient maintenant _pipelines
-		// reinjectons le vieux _pipeline au debut de _pipelines
-		if (isset($valeurs['_pipeline'])) {
-			$pipe = is_array($valeurs['_pipeline']) ? reset($valeurs['_pipeline']) : $valeurs['_pipeline'];
-			$args = is_array($valeurs['_pipeline']) ? end($valeurs['_pipeline']) : [];
-
-			$pipelines = [$pipe => $args];
-			$valeurs['_pipelines'] = array_merge($pipelines, $valeurs['_pipelines']);
-		}
-
-		// et enfin, ajoutons systematiquement un pipeline sur le squelette du formulaire
-		// qui constitue le cas le plus courant d'utilisation du pipeline recuperer_fond
-		// (performance, cela evite de s'injecter dans recuperer_fond utilise pour *tous* les squelettes)
-		$valeurs['_pipelines']['formulaire_fond'] = ['form' => $form, 'args' => $args, 'je_suis_poste' => $poste];
-	}
-
-	return $valeurs;
+    if ($charger_valeurs = charger_fonction('charger', "formulaires/$form", true)) {
+        $valeurs = $charger_valeurs(...$args);
+    } else {
+        $valeurs = [];
+    }
+
+    $valeurs = pipeline(
+        'formulaire_charger',
+        [
+            'args' => ['form' => $form, 'args' => $args, 'je_suis_poste' => $poste],
+            'data' => $valeurs
+        ]
+    );
+
+    // prise en charge CVT multi etape
+    if (is_array($valeurs) and isset($valeurs['_etapes'])) {
+        include_spip('inc/cvt_multietapes');
+        $valeurs = cvtmulti_formulaire_charger_etapes(
+            ['form' => $form, 'args' => $args, 'je_suis_poste' => $poste],
+            $valeurs
+        );
+    }
+
+    // si $valeurs et false ou une chaine, pas de formulaire, donc pas de pipeline !
+    if (is_array($valeurs)) {
+        if (!isset($valeurs['_pipelines'])) {
+            $valeurs['_pipelines'] = [];
+        }
+        // l'ancien argument _pipeline devient maintenant _pipelines
+        // reinjectons le vieux _pipeline au debut de _pipelines
+        if (isset($valeurs['_pipeline'])) {
+            $pipe = is_array($valeurs['_pipeline']) ? reset($valeurs['_pipeline']) : $valeurs['_pipeline'];
+            $args = is_array($valeurs['_pipeline']) ? end($valeurs['_pipeline']) : [];
+
+            $pipelines = [$pipe => $args];
+            $valeurs['_pipelines'] = array_merge($pipelines, $valeurs['_pipelines']);
+        }
+
+        // et enfin, ajoutons systematiquement un pipeline sur le squelette du formulaire
+        // qui constitue le cas le plus courant d'utilisation du pipeline recuperer_fond
+        // (performance, cela evite de s'injecter dans recuperer_fond utilise pour *tous* les squelettes)
+        $valeurs['_pipelines']['formulaire_fond'] = ['form' => $form, 'args' => $args, 'je_suis_poste' => $poste];
+    }
+
+    return $valeurs;
 }
 
 /**
@@ -390,9 +390,9 @@ 
  * @return bool
  */
 function formulaire__identifier($form, $args, $p) {
-	if ($identifier_args = charger_fonction('identifier', "formulaires/$form", true)) {
-		return $identifier_args(...$args) === $identifier_args(...$p);
-	}
+    if ($identifier_args = charger_fonction('identifier', "formulaires/$form", true)) {
+        return $identifier_args(...$args) === $identifier_args(...$p);
+    }
 
-	return $args === $p;
+    return $args === $p;
 }

config/ecran_securite.php

Indentation +439 added lines, -439 removed lines

@@ -15,11 +15,11 @@ 
  * Test utilisateur
  */
 if (isset($_GET['test_ecran_securite'])) {
-	$ecran_securite_raison = 'test ' . _ECRAN_SECURITE;
+    $ecran_securite_raison = 'test ' . _ECRAN_SECURITE;
 }
 
 if (file_exists($f = __DIR__ . DIRECTORY_SEPARATOR  . 'ecran_securite_options.php')) {
-	include ($f);
+    include ($f);
 }
 
 /*
@@ -29,222 +29,222 @@ 
  * le load depasse ECRAN_SECURITE_LOAD)
  */
 if (!defined('_IS_BOT') and isset($_GET['var_isbot'])) {
-	define('_IS_BOT', $_GET['var_isbot'] ? true : false);
+    define('_IS_BOT', $_GET['var_isbot'] ? true : false);
 }
 
 /*
  * Détecteur de robot d'indexation
  */
 if (!defined('_IS_BOT')) {
-	define(
-		'_IS_BOT',
-		isset($_SERVER['HTTP_USER_AGENT'])
-			and preg_match(
-				','
-					. implode('|', array(
-						// mots generiques
-						'bot',
-						'slurp',
-						'crawler',
-						'crwlr',
-						'java',
-						'monitoring',
-						'spider',
-						'webvac',
-						'yandex',
-						'MSIE 6\.0', // botnet 99,9% du temps
-						// UA plus cibles
-						'200please',
-						'80legs',
-						'a6-indexer',
-						'aboundex',
-						'accoona',
-						'acrylicapps',
-						'addthis',
-						'adressendeutschland',
-						'alexa',
-						'altavista',
-						'analyticsseo',
-						'antennapod',
-						'arachnys',
-						'archive',
-						'argclrint',
-						'aspseek',
-						'baidu',
-						'begunadvertising',
-						'bing',
-						'bloglines',
-						'buck',
-						'browsershots',
-						'bubing',
-						'butterfly',
-						'changedetection',
-						'charlotte',
-						'chilkat',
-						'china',
-						'coccoc',
-						'crowsnest',
-						'dataminr',
-						'daumoa',
-						'dlvr\.it',
-						'dlweb',
-						'drupal',
-						'ec2linkfinder',
-						'eset\.com',
-						'estyle',
-						'exalead',
-						'ezooms',
-						'facebookexternalhit',
-						'facebookplatform',
-						'fairshare',
-						'feedfetcher',
-						'feedfetcher-google',
-						'feedly',
-						'fetch',
-						'flipboardproxy',
-						'genieo',
-						'google',
-						'go-http-client',
-						'grapeshot',
-						'hatena-useragent',
-						'head',
-						'hosttracker',
-						'hubspot',
-						'ia_archiver',
-						'ichiro',
-						'iltrovatore-setaccio',
-						'immediatenet',
-						'ina',
-						'inoreader',
-						'infegyatlas',
-						'infohelfer',
-						'instapaper',
-						'jabse',
-						'james',
-						'jersey',
-						'kumkie',
-						'linkdex',
-						'linkfluence',
-						'linkwalker',
-						'litefinder',
-						'loadimpactpageanalyzer',
-						'ltx71',
-						'luminate',
-						'lycos',
-						'lycosa',
-						'mediapartners-google',
-						'msai',
-						'myapp',
-						'nativehost',
-						'najdi',
-						'netcraftsurveyagent',
-						'netestate',
-						'netseer',
-						'netnewswire',
-						'newspaper',
-						'newsblur',
-						'nuhk',
-						'nuzzel',
-						'okhttp',
-						'otmedia',
-						'owlin',
-						'owncloud',
-						'panscient',
-						'paper\.li',
-						'parsijoo',
-						'protopage',
-						'plukkie',
-						'proximic',
-						'pubsub',
-						'python',
-						'qirina',
-						'qoshe',
-						'qualidator',
-						'qwantify',
-						'rambler',
-						'readability',
-						'ruby',
-						'sbsearch',
-						'scoop\.it',
-						'scooter',
-						'scoutjet',
-						'scrapy',
-						'scrubby',
-						'scrubbybloglines',
-						'shareaholic',
-						'shopwiki',
-						'simplepie',
-						'sistrix',
-						'sitechecker',
-						'siteexplorer',
-						'snapshot',
-						'sogou',
-						'special_archiver',
-						'speedy',
-						'spinn3r',
-						'spreadtrum',
-						'steeler',
-						'subscriber',
-						'suma',
-						'superdownloads',
-						'svenska-webbsido',
-						'teoma',
-						'the knowledge AI',
-						'thumbshots',
-						'tineye',
-						'traackr',
-						'trendiction',
-						'trendsmap',
-						'tweetedtimes',
-						'tweetmeme',
-						'universalfeedparser',
-						'uaslinkchecker',
-						'undrip',
-						'unwindfetchor',
-						'upday',
-						'vedma',
-						'vkshare',
-						'vm',
-						'wch',
-						'webalta',
-						'webcookies',
-						'webparser',
-						'webthumbnail',
-						'wesee',
-						'wise-guys',
-						'woko',
-						'wordpress',
-						'wotbox',
-						'y!j-bri',
-						'y!j-bro',
-						'y!j-brw',
-						'y!j-bsc',
-						'yahoo',
-						'yahoo!',
-						'yahooysmcm',
-						'ymobactus',
-						'yats',
-						'yeti',
-						'zeerch'
-					)) . ',i',
-				(string)$_SERVER['HTTP_USER_AGENT']
-			)
-	);
+    define(
+        '_IS_BOT',
+        isset($_SERVER['HTTP_USER_AGENT'])
+            and preg_match(
+                ','
+                    . implode('|', array(
+                        // mots generiques
+                        'bot',
+                        'slurp',
+                        'crawler',
+                        'crwlr',
+                        'java',
+                        'monitoring',
+                        'spider',
+                        'webvac',
+                        'yandex',
+                        'MSIE 6\.0', // botnet 99,9% du temps
+                        // UA plus cibles
+                        '200please',
+                        '80legs',
+                        'a6-indexer',
+                        'aboundex',
+                        'accoona',
+                        'acrylicapps',
+                        'addthis',
+                        'adressendeutschland',
+                        'alexa',
+                        'altavista',
+                        'analyticsseo',
+                        'antennapod',
+                        'arachnys',
+                        'archive',
+                        'argclrint',
+                        'aspseek',
+                        'baidu',
+                        'begunadvertising',
+                        'bing',
+                        'bloglines',
+                        'buck',
+                        'browsershots',
+                        'bubing',
+                        'butterfly',
+                        'changedetection',
+                        'charlotte',
+                        'chilkat',
+                        'china',
+                        'coccoc',
+                        'crowsnest',
+                        'dataminr',
+                        'daumoa',
+                        'dlvr\.it',
+                        'dlweb',
+                        'drupal',
+                        'ec2linkfinder',
+                        'eset\.com',
+                        'estyle',
+                        'exalead',
+                        'ezooms',
+                        'facebookexternalhit',
+                        'facebookplatform',
+                        'fairshare',
+                        'feedfetcher',
+                        'feedfetcher-google',
+                        'feedly',
+                        'fetch',
+                        'flipboardproxy',
+                        'genieo',
+                        'google',
+                        'go-http-client',
+                        'grapeshot',
+                        'hatena-useragent',
+                        'head',
+                        'hosttracker',
+                        'hubspot',
+                        'ia_archiver',
+                        'ichiro',
+                        'iltrovatore-setaccio',
+                        'immediatenet',
+                        'ina',
+                        'inoreader',
+                        'infegyatlas',
+                        'infohelfer',
+                        'instapaper',
+                        'jabse',
+                        'james',
+                        'jersey',
+                        'kumkie',
+                        'linkdex',
+                        'linkfluence',
+                        'linkwalker',
+                        'litefinder',
+                        'loadimpactpageanalyzer',
+                        'ltx71',
+                        'luminate',
+                        'lycos',
+                        'lycosa',
+                        'mediapartners-google',
+                        'msai',
+                        'myapp',
+                        'nativehost',
+                        'najdi',
+                        'netcraftsurveyagent',
+                        'netestate',
+                        'netseer',
+                        'netnewswire',
+                        'newspaper',
+                        'newsblur',
+                        'nuhk',
+                        'nuzzel',
+                        'okhttp',
+                        'otmedia',
+                        'owlin',
+                        'owncloud',
+                        'panscient',
+                        'paper\.li',
+                        'parsijoo',
+                        'protopage',
+                        'plukkie',
+                        'proximic',
+                        'pubsub',
+                        'python',
+                        'qirina',
+                        'qoshe',
+                        'qualidator',
+                        'qwantify',
+                        'rambler',
+                        'readability',
+                        'ruby',
+                        'sbsearch',
+                        'scoop\.it',
+                        'scooter',
+                        'scoutjet',
+                        'scrapy',
+                        'scrubby',
+                        'scrubbybloglines',
+                        'shareaholic',
+                        'shopwiki',
+                        'simplepie',
+                        'sistrix',
+                        'sitechecker',
+                        'siteexplorer',
+                        'snapshot',
+                        'sogou',
+                        'special_archiver',
+                        'speedy',
+                        'spinn3r',
+                        'spreadtrum',
+                        'steeler',
+                        'subscriber',
+                        'suma',
+                        'superdownloads',
+                        'svenska-webbsido',
+                        'teoma',
+                        'the knowledge AI',
+                        'thumbshots',
+                        'tineye',
+                        'traackr',
+                        'trendiction',
+                        'trendsmap',
+                        'tweetedtimes',
+                        'tweetmeme',
+                        'universalfeedparser',
+                        'uaslinkchecker',
+                        'undrip',
+                        'unwindfetchor',
+                        'upday',
+                        'vedma',
+                        'vkshare',
+                        'vm',
+                        'wch',
+                        'webalta',
+                        'webcookies',
+                        'webparser',
+                        'webthumbnail',
+                        'wesee',
+                        'wise-guys',
+                        'woko',
+                        'wordpress',
+                        'wotbox',
+                        'y!j-bri',
+                        'y!j-bro',
+                        'y!j-brw',
+                        'y!j-bsc',
+                        'yahoo',
+                        'yahoo!',
+                        'yahooysmcm',
+                        'ymobactus',
+                        'yats',
+                        'yeti',
+                        'zeerch'
+                    )) . ',i',
+                (string)$_SERVER['HTTP_USER_AGENT']
+            )
+    );
 }
 if (!defined('_IS_BOT_FRIEND')) {
-	define(
-		'_IS_BOT_FRIEND',
-		isset($_SERVER['HTTP_USER_AGENT'])
-			and preg_match(
-				',' . implode('|', array(
-					'facebookexternalhit',
-					'twitterbot',
-					'flipboardproxy',
-					'wordpress'
-				)) . ',i',
-				(string)$_SERVER['HTTP_USER_AGENT']
-			)
-	);
+    define(
+        '_IS_BOT_FRIEND',
+        isset($_SERVER['HTTP_USER_AGENT'])
+            and preg_match(
+                ',' . implode('|', array(
+                    'facebookexternalhit',
+                    'twitterbot',
+                    'flipboardproxy',
+                    'wordpress'
+                )) . ',i',
+                (string)$_SERVER['HTTP_USER_AGENT']
+            )
+    );
 }
 
 /*
@@ -256,28 +256,28 @@ 
  */
 $_exceptions = array('id_table', 'id_base', 'id_parent', 'id_article_pdf');
 foreach ($_GET as $var => $val) {
-	if (
-		$_GET[$var] and strncmp($var, "id_", 3) == 0
-		and !in_array($var, $_exceptions)
-	) {
-		$_GET[$var] = is_array($_GET[$var]) ? @array_map('intval', $_GET[$var]) : intval($_GET[$var]);
-	}
+    if (
+        $_GET[$var] and strncmp($var, "id_", 3) == 0
+        and !in_array($var, $_exceptions)
+    ) {
+        $_GET[$var] = is_array($_GET[$var]) ? @array_map('intval', $_GET[$var]) : intval($_GET[$var]);
+    }
 }
 foreach ($_POST as $var => $val) {
-	if (
-		$_POST[$var] and strncmp($var, "id_", 3) == 0
-		and !in_array($var, $_exceptions)
-	) {
-		$_POST[$var] = is_array($_POST[$var]) ? @array_map('intval', $_POST[$var]) : intval($_POST[$var]);
-	}
+    if (
+        $_POST[$var] and strncmp($var, "id_", 3) == 0
+        and !in_array($var, $_exceptions)
+    ) {
+        $_POST[$var] = is_array($_POST[$var]) ? @array_map('intval', $_POST[$var]) : intval($_POST[$var]);
+    }
 }
 foreach ($GLOBALS as $var => $val) {
-	if (
-		$GLOBALS[$var] and strncmp($var, "id_", 3) == 0
-		and !in_array($var, $_exceptions)
-	) {
-		$GLOBALS[$var] = is_array($GLOBALS[$var]) ? @array_map('intval', $GLOBALS[$var]) : intval($GLOBALS[$var]);
-	}
+    if (
+        $GLOBALS[$var] and strncmp($var, "id_", 3) == 0
+        and !in_array($var, $_exceptions)
+    ) {
+        $GLOBALS[$var] = is_array($GLOBALS[$var]) ? @array_map('intval', $GLOBALS[$var]) : intval($GLOBALS[$var]);
+    }
 }
 
 /*
@@ -290,116 +290,116 @@ 
  * Contrôle de quelques variables (XSS)
  */
 foreach (array('lang', 'var_recherche', 'aide', 'var_lang_r', 'lang_r', 'var_ajax_ancre', 'nom_fichier') as $var) {
-	if (isset($_GET[$var])) {
-		$_REQUEST[$var] = $GLOBALS[$var] = $_GET[$var] = preg_replace(',[^\w\,/#&;-]+,', ' ', (string)$_GET[$var]);
-	}
-	if (isset($_POST[$var])) {
-		$_REQUEST[$var] = $GLOBALS[$var] = $_POST[$var] = preg_replace(',[^\w\,/#&;-]+,', ' ', (string)$_POST[$var]);
-	}
+    if (isset($_GET[$var])) {
+        $_REQUEST[$var] = $GLOBALS[$var] = $_GET[$var] = preg_replace(',[^\w\,/#&;-]+,', ' ', (string)$_GET[$var]);
+    }
+    if (isset($_POST[$var])) {
+        $_REQUEST[$var] = $GLOBALS[$var] = $_POST[$var] = preg_replace(',[^\w\,/#&;-]+,', ' ', (string)$_POST[$var]);
+    }
 }
 
 /*
  * Filtre l'accès à spip_acces_doc (injection SQL en 1.8.2x)
  */
 if (isset($_SERVER['REQUEST_URI'])) {
-	if (preg_match(',^(.*/)?spip_acces_doc\.,', (string)$_SERVER['REQUEST_URI'])) {
-		$file = addslashes((string)$_GET['file']);
-	}
+    if (preg_match(',^(.*/)?spip_acces_doc\.,', (string)$_SERVER['REQUEST_URI'])) {
+        $file = addslashes((string)$_GET['file']);
+    }
 }
 
 /*
  * Pas d'inscription abusive
  */
 if (
-	isset($_REQUEST['mode']) and isset($_REQUEST['page'])
-	and !in_array($_REQUEST['mode'], array("6forum", "1comite"))
-	and $_REQUEST['page'] == "identifiants"
+    isset($_REQUEST['mode']) and isset($_REQUEST['page'])
+    and !in_array($_REQUEST['mode'], array("6forum", "1comite"))
+    and $_REQUEST['page'] == "identifiants"
 ) {
-	$ecran_securite_raison = "identifiants";
+    $ecran_securite_raison = "identifiants";
 }
 
 /*
  * Agenda joue à l'injection php
  */
 if (
-	isset($_REQUEST['partie_cal'])
-	and $_REQUEST['partie_cal'] !== htmlentities((string)$_REQUEST['partie_cal'])
+    isset($_REQUEST['partie_cal'])
+    and $_REQUEST['partie_cal'] !== htmlentities((string)$_REQUEST['partie_cal'])
 ) {
-	$ecran_securite_raison = "partie_cal";
+    $ecran_securite_raison = "partie_cal";
 }
 if (
-	isset($_REQUEST['echelle'])
-	and $_REQUEST['echelle'] !== htmlentities((string)$_REQUEST['echelle'])
+    isset($_REQUEST['echelle'])
+    and $_REQUEST['echelle'] !== htmlentities((string)$_REQUEST['echelle'])
 ) {
-	$ecran_securite_raison = "echelle";
+    $ecran_securite_raison = "echelle";
 }
 
 /*
  * Espace privé
  */
 if (
-	isset($_REQUEST['exec'])
-	and !preg_match(',^[\w-]+$,', (string)$_REQUEST['exec'])
+    isset($_REQUEST['exec'])
+    and !preg_match(',^[\w-]+$,', (string)$_REQUEST['exec'])
 ) {
-	$ecran_securite_raison = "exec";
+    $ecran_securite_raison = "exec";
 }
 if (
-	isset($_REQUEST['cherche_auteur'])
-	and preg_match(',[<],', (string)$_REQUEST['cherche_auteur'])
+    isset($_REQUEST['cherche_auteur'])
+    and preg_match(',[<],', (string)$_REQUEST['cherche_auteur'])
 ) {
-	$ecran_securite_raison = "cherche_auteur";
+    $ecran_securite_raison = "cherche_auteur";
 }
 if (
-	isset($_REQUEST['exec'])
-	and $_REQUEST['exec'] == 'auteurs'
-	and isset($_REQUEST['recherche'])
-	and preg_match(',[<],', (string)$_REQUEST['recherche'])
+    isset($_REQUEST['exec'])
+    and $_REQUEST['exec'] == 'auteurs'
+    and isset($_REQUEST['recherche'])
+    and preg_match(',[<],', (string)$_REQUEST['recherche'])
 ) {
-	$ecran_securite_raison = "recherche";
+    $ecran_securite_raison = "recherche";
 }
 if (
-	isset($_REQUEST['exec'])
-	and $_REQUEST['exec'] == 'info_plugin'
-	and isset($_REQUEST['plugin'])
-	and preg_match(',[<],', (string)$_REQUEST['plugin'])
+    isset($_REQUEST['exec'])
+    and $_REQUEST['exec'] == 'info_plugin'
+    and isset($_REQUEST['plugin'])
+    and preg_match(',[<],', (string)$_REQUEST['plugin'])
 ) {
-	$ecran_securite_raison = "plugin";
+    $ecran_securite_raison = "plugin";
 }
 if (
-	isset($_REQUEST['exec'])
-	and $_REQUEST['exec'] == 'puce_statut'
-	and isset($_REQUEST['id'])
-	and !intval($_REQUEST['id'])
+    isset($_REQUEST['exec'])
+    and $_REQUEST['exec'] == 'puce_statut'
+    and isset($_REQUEST['id'])
+    and !intval($_REQUEST['id'])
 ) {
-	$ecran_securite_raison = "puce_statut";
+    $ecran_securite_raison = "puce_statut";
 }
 if (
-	isset($_REQUEST['action'])
-	and $_REQUEST['action'] == 'configurer'
+    isset($_REQUEST['action'])
+    and $_REQUEST['action'] == 'configurer'
 ) {
-	if (
-		@file_exists('inc_version.php')
-		or @file_exists('ecrire/inc_version.php')
-	) {
-		function action_configurer() {
-			include_spip('inc/autoriser');
-			if (!autoriser('configurer', _request('configuration'))) {
-				include_spip('inc/minipres');
-				echo minipres(_T('info_acces_interdit'));
-				exit;
-			}
-			require _DIR_RESTREINT . 'action/configurer.php';
-			action_configurer_dist();
-		}
-	}
+    if (
+        @file_exists('inc_version.php')
+        or @file_exists('ecrire/inc_version.php')
+    ) {
+        function action_configurer() {
+            include_spip('inc/autoriser');
+            if (!autoriser('configurer', _request('configuration'))) {
+                include_spip('inc/minipres');
+                echo minipres(_T('info_acces_interdit'));
+                exit;
+            }
+            require _DIR_RESTREINT . 'action/configurer.php';
+            action_configurer_dist();
+        }
+    }
 }
 if (
-	isset($_REQUEST['action'])
-	and $_REQUEST['action'] == 'ordonner_liens_documents'
-	and isset($_REQUEST['ordre'])
-	and is_string($_REQUEST['ordre'])
+    isset($_REQUEST['action'])
+    and $_REQUEST['action'] == 'ordonner_liens_documents'
+    and isset($_REQUEST['ordre'])
+    and is_string($_REQUEST['ordre'])
 ) {
-	$ecran_securite_raison = "ordre a la chaine";
+    $ecran_securite_raison = "ordre a la chaine";
 }
 
 
@@ -407,29 +407,29 @@ 
  * Bloque les requêtes contenant %00 (manipulation d'include)
  */
 if (strpos(
-	(function_exists('get_magic_quotes_gpc') and @get_magic_quotes_gpc())
-		? stripslashes(serialize($_REQUEST))
-		: serialize($_REQUEST),
-	chr(0)
+    (function_exists('get_magic_quotes_gpc') and @get_magic_quotes_gpc())
+        ? stripslashes(serialize($_REQUEST))
+        : serialize($_REQUEST),
+    chr(0)
 ) !== false) {
-	$ecran_securite_raison = "%00";
+    $ecran_securite_raison = "%00";
 }
 
 /*
  * Bloque les requêtes fond=formulaire_
  */
 if (
-	isset($_REQUEST['fond'])
-	and preg_match(',^formulaire_,i', $_REQUEST['fond'])
+    isset($_REQUEST['fond'])
+    and preg_match(',^formulaire_,i', $_REQUEST['fond'])
 ) {
-	$ecran_securite_raison = "fond=formulaire_";
+    $ecran_securite_raison = "fond=formulaire_";
 }
 
 /*
  * Bloque les requêtes du type ?GLOBALS[type_urls]=toto (bug vieux php)
  */
 if (isset($_REQUEST['GLOBALS'])) {
-	$ecran_securite_raison = "GLOBALS[GLOBALS]";
+    $ecran_securite_raison = "GLOBALS[GLOBALS]";
 }
 
 /*
@@ -438,14 +438,14 @@ 
  * les paginations entremélées
  */
 if (_IS_BOT) {
-	if (
-		(isset($_REQUEST['echelle']) and isset($_REQUEST['partie_cal']) and isset($_REQUEST['type']))
-		or (strpos((string)$_SERVER['REQUEST_URI'], 'debut_') and preg_match(',[?&]debut_.*&debut_,', (string)$_SERVER['REQUEST_URI']))
-		or (isset($_REQUEST['calendrier_annee']) and strpos((string)$_SERVER['REQUEST_URI'], 'debut_'))
-		or (isset($_REQUEST['calendrier_annee']) and preg_match(',[?&]calendrier_annee=.*&calendrier_annee=,', (string)$_SERVER['REQUEST_URI']))
-	) {
-		$ecran_securite_raison = "robot agenda/double pagination";
-	}
+    if (
+        (isset($_REQUEST['echelle']) and isset($_REQUEST['partie_cal']) and isset($_REQUEST['type']))
+        or (strpos((string)$_SERVER['REQUEST_URI'], 'debut_') and preg_match(',[?&]debut_.*&debut_,', (string)$_SERVER['REQUEST_URI']))
+        or (isset($_REQUEST['calendrier_annee']) and strpos((string)$_SERVER['REQUEST_URI'], 'debut_'))
+        or (isset($_REQUEST['calendrier_annee']) and preg_match(',[?&]calendrier_annee=.*&calendrier_annee=,', (string)$_SERVER['REQUEST_URI']))
+    ) {
+        $ecran_securite_raison = "robot agenda/double pagination";
+    }
 }
 
 /*
@@ -453,82 +453,82 @@ 
  * Bloque un XSS sur une page inexistante
  */
 if (isset($_REQUEST['page'])) {
-	if ($_REQUEST['page'] == 'test_cfg') {
-		$ecran_securite_raison = "test_cfg";
-	}
-	if ($_REQUEST['page'] !== htmlspecialchars((string)$_REQUEST['page'])) {
-		$ecran_securite_raison = "xsspage";
-	}
-	if (
-		$_REQUEST['page'] == '404'
-		and isset($_REQUEST['erreur'])
-	) {
-		$ecran_securite_raison = "xss404";
-	}
+    if ($_REQUEST['page'] == 'test_cfg') {
+        $ecran_securite_raison = "test_cfg";
+    }
+    if ($_REQUEST['page'] !== htmlspecialchars((string)$_REQUEST['page'])) {
+        $ecran_securite_raison = "xsspage";
+    }
+    if (
+        $_REQUEST['page'] == '404'
+        and isset($_REQUEST['erreur'])
+    ) {
+        $ecran_securite_raison = "xss404";
+    }
 }
 
 /*
  * XSS par array
  */
 foreach (array('var_login') as $var) {
-	if (isset($_REQUEST[$var]) and is_array($_REQUEST[$var])) {
-		$ecran_securite_raison = "xss " . $var;
-	}
+    if (isset($_REQUEST[$var]) and is_array($_REQUEST[$var])) {
+        $ecran_securite_raison = "xss " . $var;
+    }
 }
 
 /*
  * Parade antivirale contre un cheval de troie
  */
 if (!function_exists('tmp_lkojfghx')) {
-	function tmp_lkojfghx() {}
-	function tmp_lkojfghx2($a = 0, $b = 0, $c = 0, $d = 0) {
-		// si jamais on est arrivé ici sur une erreur php
-		// et qu'un autre gestionnaire d'erreur est défini, l'appeller
-		if ($b && $GLOBALS['tmp_xhgfjokl']) {
-			call_user_func($GLOBALS['tmp_xhgfjokl'], $a, $b, $c, $d);
-		}
-	}
+    function tmp_lkojfghx() {}
+    function tmp_lkojfghx2($a = 0, $b = 0, $c = 0, $d = 0) {
+        // si jamais on est arrivé ici sur une erreur php
+        // et qu'un autre gestionnaire d'erreur est défini, l'appeller
+        if ($b && $GLOBALS['tmp_xhgfjokl']) {
+            call_user_func($GLOBALS['tmp_xhgfjokl'], $a, $b, $c, $d);
+        }
+    }
 }
 if (isset($_POST['tmp_lkojfghx3'])) {
-	$ecran_securite_raison = "gumblar";
+    $ecran_securite_raison = "gumblar";
 }
 
 /*
  * Outils XML mal sécurisés < 2.0.9
  */
 if (isset($_REQUEST['transformer_xml'])) {
-	$ecran_securite_raison = "transformer_xml";
+    $ecran_securite_raison = "transformer_xml";
 }
 
 /*
  * Outils XML mal sécurisés again
  */
 if (isset($_REQUEST['var_url']) and $_REQUEST['var_url'] and isset($_REQUEST['exec']) and $_REQUEST['exec'] == 'valider_xml') {
-	$url = trim($_REQUEST['var_url']);
-	if (
-		strncmp($url, '/', 1) == 0
-		or (($p = strpos($url, '..')) !== false and strpos($url, '..', $p + 3) !== false)
-		or (($p = strpos($url, '..')) !== false and strpos($url, 'IMG', $p + 3) !== false)
-		or (strpos($url, '://') !== false or strpos($url, ':\\') !== false)
-	) {
-		$ecran_securite_raison = 'URL interdite pour var_url';
-	}
+    $url = trim($_REQUEST['var_url']);
+    if (
+        strncmp($url, '/', 1) == 0
+        or (($p = strpos($url, '..')) !== false and strpos($url, '..', $p + 3) !== false)
+        or (($p = strpos($url, '..')) !== false and strpos($url, 'IMG', $p + 3) !== false)
+        or (strpos($url, '://') !== false or strpos($url, ':\\') !== false)
+    ) {
+        $ecran_securite_raison = 'URL interdite pour var_url';
+    }
 }
 
 /*
  * Sauvegarde mal securisée < 2.0.9
  */
 if (
-	isset($_REQUEST['nom_sauvegarde'])
-	and strstr((string)$_REQUEST['nom_sauvegarde'], '/')
+    isset($_REQUEST['nom_sauvegarde'])
+    and strstr((string)$_REQUEST['nom_sauvegarde'], '/')
 ) {
-	$ecran_securite_raison = 'nom_sauvegarde manipulee';
+    $ecran_securite_raison = 'nom_sauvegarde manipulee';
 }
 if (
-	isset($_REQUEST['znom_sauvegarde'])
-	and strstr((string)$_REQUEST['znom_sauvegarde'], '/')
+    isset($_REQUEST['znom_sauvegarde'])
+    and strstr((string)$_REQUEST['znom_sauvegarde'], '/')
 ) {
-	$ecran_securite_raison = 'znom_sauvegarde manipulee';
+    $ecran_securite_raison = 'znom_sauvegarde manipulee';
 }
 
 
@@ -537,57 +537,57 @@ 
  * on vérifie 'page' pour ne pas bloquer ... drupal
  */
 if (
-	isset($_REQUEST['op']) and isset($_REQUEST['page'])
-	and $_REQUEST['op'] !== preg_replace('/[^\\-\w]/', '', $_REQUEST['op'])
+    isset($_REQUEST['op']) and isset($_REQUEST['page'])
+    and $_REQUEST['op'] !== preg_replace('/[^\\-\w]/', '', $_REQUEST['op'])
 ) {
-	$ecran_securite_raison = 'op';
+    $ecran_securite_raison = 'op';
 }
 
 /*
  * Forms & Table ne se méfiait pas assez des uploads de fichiers
  */
 if (count($_FILES)) {
-	foreach ($_FILES as $k => $v) {
-		if (
-			preg_match(',^fichier_\d+$,', $k)
-			and preg_match(',\.php,i', $v['name'])
-		) {
-			unset($_FILES[$k]);
-		}
-	}
+    foreach ($_FILES as $k => $v) {
+        if (
+            preg_match(',^fichier_\d+$,', $k)
+            and preg_match(',\.php,i', $v['name'])
+        ) {
+            unset($_FILES[$k]);
+        }
+    }
 }
 /*
  * et Contact trop laxiste avec une variable externe
  * on bloque pas le post pour eviter de perdre des donnees mais on unset la variable et c'est tout
  */
 if (isset($_REQUEST['pj_enregistrees_nom']) and $_REQUEST['pj_enregistrees_nom']) {
-	unset($_REQUEST['pj_enregistrees_nom']);
-	unset($_GET['pj_enregistrees_nom']);
-	unset($_POST['pj_enregistrees_nom']);
+    unset($_REQUEST['pj_enregistrees_nom']);
+    unset($_GET['pj_enregistrees_nom']);
+    unset($_POST['pj_enregistrees_nom']);
 }
 
 /*
  * reinstall=oui un peu trop permissif
  */
 if (
-	isset($_REQUEST['reinstall'])
-	and $_REQUEST['reinstall'] == 'oui'
+    isset($_REQUEST['reinstall'])
+    and $_REQUEST['reinstall'] == 'oui'
 ) {
-	$ecran_securite_raison = 'reinstall=oui';
+    $ecran_securite_raison = 'reinstall=oui';
 }
 
 /*
  * Pas d'action pendant l'install
  */
 if (isset($_REQUEST['exec']) and $_REQUEST['exec'] === 'install' and isset($_REQUEST['action'])) {
-	$ecran_securite_raison = 'install&action impossibles';
+    $ecran_securite_raison = 'install&action impossibles';
 }
 
 /*
  * Échappement xss referer
  */
 if (isset($_SERVER['HTTP_REFERER'])) {
-	$_SERVER['HTTP_REFERER'] = strtr($_SERVER['HTTP_REFERER'], '<>"\'', '[]##');
+    $_SERVER['HTTP_REFERER'] = strtr($_SERVER['HTTP_REFERER'], '<>"\'', '[]##');
 }
 
 
@@ -595,7 +595,7 @@ 
  * Echappement HTTP_X_FORWARDED_HOST
  */
 if (isset($_SERVER['HTTP_X_FORWARDED_HOST'])) {
-	$_SERVER['HTTP_X_FORWARDED_HOST'] = strtr($_SERVER['HTTP_X_FORWARDED_HOST'], "<>?\"\{\}\$'` \r\n", '____________');
+    $_SERVER['HTTP_X_FORWARDED_HOST'] = strtr($_SERVER['HTTP_X_FORWARDED_HOST'], "<>?\"\{\}\$'` \r\n", '____________');
 }
 
 
@@ -603,9 +603,9 @@ 
  * Pas d'erreur dans l'erreur
  */
 if (isset($_REQUEST['var_erreur']) and isset($_REQUEST['page']) and $_REQUEST['page'] === 'login') {
-	if (strlen($_REQUEST['var_erreur']) !== strcspn($_REQUEST['var_erreur'], '<>')) {
-		$ecran_securite_raison = 'var_erreur incorrecte';
-	}
+    if (strlen($_REQUEST['var_erreur']) !== strcspn($_REQUEST['var_erreur'], '<>')) {
+        $ecran_securite_raison = 'var_erreur incorrecte';
+    }
 }
 
 
@@ -613,30 +613,30 @@ 
  * Réinjection des clés en html dans l'admin r19561
  */
 if (
-	(isset($_SERVER['REQUEST_URI']) and strpos($_SERVER['REQUEST_URI'], "ecrire/") !== false)
-	or isset($_REQUEST['var_memotri'])
+    (isset($_SERVER['REQUEST_URI']) and strpos($_SERVER['REQUEST_URI'], "ecrire/") !== false)
+    or isset($_REQUEST['var_memotri'])
 ) {
-	$zzzz = implode("", array_keys($_REQUEST));
-	if (strlen($zzzz) != strcspn($zzzz, '<>"\'')) {
-		$ecran_securite_raison = 'Cle incorrecte en $_REQUEST';
-	}
+    $zzzz = implode("", array_keys($_REQUEST));
+    if (strlen($zzzz) != strcspn($zzzz, '<>"\'')) {
+        $ecran_securite_raison = 'Cle incorrecte en $_REQUEST';
+    }
 }
 
 /*
  * Injection par connect
  */
 if (
-	isset($_REQUEST['connect'])
-	// cas qui permettent de sortir d'un commentaire PHP
-	and (
-		strpos($_REQUEST['connect'], "?") !== false
-		or strpos($_REQUEST['connect'], "<") !== false
-		or strpos($_REQUEST['connect'], ">") !== false
-		or strpos($_REQUEST['connect'], "\n") !== false
-		or strpos($_REQUEST['connect'], "\r") !== false
-	)
+    isset($_REQUEST['connect'])
+    // cas qui permettent de sortir d'un commentaire PHP
+    and (
+        strpos($_REQUEST['connect'], "?") !== false
+        or strpos($_REQUEST['connect'], "<") !== false
+        or strpos($_REQUEST['connect'], ">") !== false
+        or strpos($_REQUEST['connect'], "\n") !== false
+        or strpos($_REQUEST['connect'], "\r") !== false
+    )
 ) {
-	$ecran_securite_raison = "malformed connect argument";
+    $ecran_securite_raison = "malformed connect argument";
 }
 
 
@@ -644,25 +644,25 @@ 
  * _oups donc
  */
 if (
-	isset($_REQUEST['_oups'])
-	and base64_decode($_REQUEST['_oups'], true) === false) {
-	$ecran_securite_raison = "malformed _oups argument";
+    isset($_REQUEST['_oups'])
+    and base64_decode($_REQUEST['_oups'], true) === false) {
+    $ecran_securite_raison = "malformed _oups argument";
 }
 
 if (
-	isset($_REQUEST['formulaire_action_args'])
+    isset($_REQUEST['formulaire_action_args'])
 ) {
-	foreach ($_REQUEST as $k => $v) {
-		if (is_string($v)
-		  and strpos($v, ':') !== false
-		  and strpos($v, '"') !==false
-		  and preg_match(',[bidsaO]:,', $v)
-		  and @unserialize($v)) {
-			$_REQUEST[$k] = htmlentities($v);
-			if (isset($_POST[$k])) $_POST[$k] = $_REQUEST[$k];
-			if (isset($_GET[$k])) $_GET[$k] = $_REQUEST[$k];
-		}
-	}
+    foreach ($_REQUEST as $k => $v) {
+        if (is_string($v)
+          and strpos($v, ':') !== false
+          and strpos($v, '"') !==false
+          and preg_match(',[bidsaO]:,', $v)
+          and @unserialize($v)) {
+            $_REQUEST[$k] = htmlentities($v);
+            if (isset($_POST[$k])) $_POST[$k] = $_REQUEST[$k];
+            if (isset($_GET[$k])) $_GET[$k] = $_REQUEST[$k];
+        }
+    }
 }
 
 
@@ -670,23 +670,23 @@ 
  * S'il y a une raison de mourir, mourons
  */
 if (isset($ecran_securite_raison)) {
-	header("HTTP/1.0 403 Forbidden");
-	header("Expires: Wed, 11 Jan 1984 05:00:00 GMT");
-	header("Cache-Control: no-cache, must-revalidate");
-	header("Pragma: no-cache");
-	header("Content-Type: text/html");
-	header("Connection: close");
-	die("<html><title>Error 403: Forbidden</title><body><h1>Error 403</h1><p>You are not authorized to view this page ($ecran_securite_raison)</p></body></html>");
+    header("HTTP/1.0 403 Forbidden");
+    header("Expires: Wed, 11 Jan 1984 05:00:00 GMT");
+    header("Cache-Control: no-cache, must-revalidate");
+    header("Pragma: no-cache");
+    header("Content-Type: text/html");
+    header("Connection: close");
+    die("<html><title>Error 403: Forbidden</title><body><h1>Error 403</h1><p>You are not authorized to view this page ($ecran_securite_raison)</p></body></html>");
 }
 
 /*
  * Un filtre filtrer_entites securise
  */
 if (!function_exists('filtre_filtrer_entites_dist')) {
-	function filtre_filtrer_entites_dist($t) {
-		include_spip('inc/texte');
-		return interdire_scripts(filtrer_entites($t));
-	}
+    function filtre_filtrer_entites_dist($t) {
+        include_spip('inc/texte');
+        return interdire_scripts(filtrer_entites($t));
+    }
 }
 
 
@@ -700,35 +700,35 @@ 
  * Bloque les bots quand le load déborde
  */
 if (!defined('_ECRAN_SECURITE_LOAD')) {
-	define('_ECRAN_SECURITE_LOAD', 4);
+    define('_ECRAN_SECURITE_LOAD', 4);
 }
 
 if (
-	defined('_ECRAN_SECURITE_LOAD')
-	and _ECRAN_SECURITE_LOAD > 0
-	and _IS_BOT
-	and !_IS_BOT_FRIEND
-	and $_SERVER['REQUEST_METHOD'] === 'GET'
-	and (
-		(function_exists('sys_getloadavg')
-			and $load = sys_getloadavg()
-			and is_array($load)
-			and $load = array_shift($load))
-		or
-		(@is_readable('/proc/loadavg')
-			and $load = file_get_contents('/proc/loadavg')
-			and $load = floatval($load))
-	)
-	and $load > _ECRAN_SECURITE_LOAD // eviter l'evaluation suivante si de toute facon le load est inferieur a la limite
-	and rand(0, (int) ($load * $load)) > _ECRAN_SECURITE_LOAD * _ECRAN_SECURITE_LOAD
+    defined('_ECRAN_SECURITE_LOAD')
+    and _ECRAN_SECURITE_LOAD > 0
+    and _IS_BOT
+    and !_IS_BOT_FRIEND
+    and $_SERVER['REQUEST_METHOD'] === 'GET'
+    and (
+        (function_exists('sys_getloadavg')
+            and $load = sys_getloadavg()
+            and is_array($load)
+            and $load = array_shift($load))
+        or
+        (@is_readable('/proc/loadavg')
+            and $load = file_get_contents('/proc/loadavg')
+            and $load = floatval($load))
+    )
+    and $load > _ECRAN_SECURITE_LOAD // eviter l'evaluation suivante si de toute facon le load est inferieur a la limite
+    and rand(0, (int) ($load * $load)) > _ECRAN_SECURITE_LOAD * _ECRAN_SECURITE_LOAD
 ) {
-	//https://webmasters.stackexchange.com/questions/65674/should-i-return-a-429-or-503-status-code-to-a-bot
-	header("HTTP/1.0 429 Too Many Requests");
-	header("Retry-After: 300");
-	header("Expires: Wed, 11 Jan 1984 05:00:00 GMT");
-	header("Cache-Control: no-cache, must-revalidate");
-	header("Pragma: no-cache");
-	header("Content-Type: text/html");
-	header("Connection: close");
-	die("<html><title>Status 429: Too Many Requests</title><body><h1>Status 429</h1><p>Too Many Requests (try again soon)</p></body></html>");
+    //https://webmasters.stackexchange.com/questions/65674/should-i-return-a-429-or-503-status-code-to-a-bot
+    header("HTTP/1.0 429 Too Many Requests");
+    header("Retry-After: 300");
+    header("Expires: Wed, 11 Jan 1984 05:00:00 GMT");
+    header("Cache-Control: no-cache, must-revalidate");
+    header("Pragma: no-cache");
+    header("Content-Type: text/html");
+    header("Connection: close");
+    die("<html><title>Status 429: Too Many Requests</title><body><h1>Status 429</h1><p>Too Many Requests (try again soon)</p></body></html>");
 }

Spacing +26 added lines, -26 removed lines

@@ -15,10 +15,10 @@ 
  * Test utilisateur
  */
 if (isset($_GET['test_ecran_securite'])) {
-	$ecran_securite_raison = 'test ' . _ECRAN_SECURITE;
+	$ecran_securite_raison = 'test '._ECRAN_SECURITE;
 }
 
-if (file_exists($f = __DIR__ . DIRECTORY_SEPARATOR  . 'ecran_securite_options.php')) {
+if (file_exists($f = __DIR__.DIRECTORY_SEPARATOR.'ecran_securite_options.php')) {
 	include ($f);
 }
 
@@ -226,8 +226,8 @@ 
 						'yats',
 						'yeti',
 						'zeerch'
-					)) . ',i',
-				(string)$_SERVER['HTTP_USER_AGENT']
+					)).',i',
+				(string) $_SERVER['HTTP_USER_AGENT']
 			)
 	);
 }
@@ -236,13 +236,13 @@ 
 		'_IS_BOT_FRIEND',
 		isset($_SERVER['HTTP_USER_AGENT'])
 			and preg_match(
-				',' . implode('|', array(
+				','.implode('|', array(
 					'facebookexternalhit',
 					'twitterbot',
 					'flipboardproxy',
 					'wordpress'
-				)) . ',i',
-				(string)$_SERVER['HTTP_USER_AGENT']
+				)).',i',
+				(string) $_SERVER['HTTP_USER_AGENT']
 			)
 	);
 }
@@ -291,10 +291,10 @@ 
  */
 foreach (array('lang', 'var_recherche', 'aide', 'var_lang_r', 'lang_r', 'var_ajax_ancre', 'nom_fichier') as $var) {
 	if (isset($_GET[$var])) {
-		$_REQUEST[$var] = $GLOBALS[$var] = $_GET[$var] = preg_replace(',[^\w\,/#&;-]+,', ' ', (string)$_GET[$var]);
+		$_REQUEST[$var] = $GLOBALS[$var] = $_GET[$var] = preg_replace(',[^\w\,/#&;-]+,', ' ', (string) $_GET[$var]);
 	}
 	if (isset($_POST[$var])) {
-		$_REQUEST[$var] = $GLOBALS[$var] = $_POST[$var] = preg_replace(',[^\w\,/#&;-]+,', ' ', (string)$_POST[$var]);
+		$_REQUEST[$var] = $GLOBALS[$var] = $_POST[$var] = preg_replace(',[^\w\,/#&;-]+,', ' ', (string) $_POST[$var]);
 	}
 }
 
@@ -302,8 +302,8 @@ 
  * Filtre l'accès à spip_acces_doc (injection SQL en 1.8.2x)
  */
 if (isset($_SERVER['REQUEST_URI'])) {
-	if (preg_match(',^(.*/)?spip_acces_doc\.,', (string)$_SERVER['REQUEST_URI'])) {
-		$file = addslashes((string)$_GET['file']);
+	if (preg_match(',^(.*/)?spip_acces_doc\.,', (string) $_SERVER['REQUEST_URI'])) {
+		$file = addslashes((string) $_GET['file']);
 	}
 }
 
@@ -323,13 +323,13 @@ 
  */
 if (
 	isset($_REQUEST['partie_cal'])
-	and $_REQUEST['partie_cal'] !== htmlentities((string)$_REQUEST['partie_cal'])
+	and $_REQUEST['partie_cal'] !== htmlentities((string) $_REQUEST['partie_cal'])
 ) {
 	$ecran_securite_raison = "partie_cal";
 }
 if (
 	isset($_REQUEST['echelle'])
-	and $_REQUEST['echelle'] !== htmlentities((string)$_REQUEST['echelle'])
+	and $_REQUEST['echelle'] !== htmlentities((string) $_REQUEST['echelle'])
 ) {
 	$ecran_securite_raison = "echelle";
 }
@@ -339,13 +339,13 @@ 
  */
 if (
 	isset($_REQUEST['exec'])
-	and !preg_match(',^[\w-]+$,', (string)$_REQUEST['exec'])
+	and !preg_match(',^[\w-]+$,', (string) $_REQUEST['exec'])
 ) {
 	$ecran_securite_raison = "exec";
 }
 if (
 	isset($_REQUEST['cherche_auteur'])
-	and preg_match(',[<],', (string)$_REQUEST['cherche_auteur'])
+	and preg_match(',[<],', (string) $_REQUEST['cherche_auteur'])
 ) {
 	$ecran_securite_raison = "cherche_auteur";
 }
@@ -353,7 +353,7 @@ 
 	isset($_REQUEST['exec'])
 	and $_REQUEST['exec'] == 'auteurs'
 	and isset($_REQUEST['recherche'])
-	and preg_match(',[<],', (string)$_REQUEST['recherche'])
+	and preg_match(',[<],', (string) $_REQUEST['recherche'])
 ) {
 	$ecran_securite_raison = "recherche";
 }
@@ -361,7 +361,7 @@ 
 	isset($_REQUEST['exec'])
 	and $_REQUEST['exec'] == 'info_plugin'
 	and isset($_REQUEST['plugin'])
-	and preg_match(',[<],', (string)$_REQUEST['plugin'])
+	and preg_match(',[<],', (string) $_REQUEST['plugin'])
 ) {
 	$ecran_securite_raison = "plugin";
 }
@@ -388,7 +388,7 @@ 
 				echo minipres(_T('info_acces_interdit'));
 				exit;
 			}
-			require _DIR_RESTREINT . 'action/configurer.php';
+			require _DIR_RESTREINT.'action/configurer.php';
 			action_configurer_dist();
 		}
 	}
@@ -440,9 +440,9 @@ 
 if (_IS_BOT) {
 	if (
 		(isset($_REQUEST['echelle']) and isset($_REQUEST['partie_cal']) and isset($_REQUEST['type']))
-		or (strpos((string)$_SERVER['REQUEST_URI'], 'debut_') and preg_match(',[?&]debut_.*&debut_,', (string)$_SERVER['REQUEST_URI']))
-		or (isset($_REQUEST['calendrier_annee']) and strpos((string)$_SERVER['REQUEST_URI'], 'debut_'))
-		or (isset($_REQUEST['calendrier_annee']) and preg_match(',[?&]calendrier_annee=.*&calendrier_annee=,', (string)$_SERVER['REQUEST_URI']))
+		or (strpos((string) $_SERVER['REQUEST_URI'], 'debut_') and preg_match(',[?&]debut_.*&debut_,', (string) $_SERVER['REQUEST_URI']))
+		or (isset($_REQUEST['calendrier_annee']) and strpos((string) $_SERVER['REQUEST_URI'], 'debut_'))
+		or (isset($_REQUEST['calendrier_annee']) and preg_match(',[?&]calendrier_annee=.*&calendrier_annee=,', (string) $_SERVER['REQUEST_URI']))
 	) {
 		$ecran_securite_raison = "robot agenda/double pagination";
 	}
@@ -456,7 +456,7 @@ 
 	if ($_REQUEST['page'] == 'test_cfg') {
 		$ecran_securite_raison = "test_cfg";
 	}
-	if ($_REQUEST['page'] !== htmlspecialchars((string)$_REQUEST['page'])) {
+	if ($_REQUEST['page'] !== htmlspecialchars((string) $_REQUEST['page'])) {
 		$ecran_securite_raison = "xsspage";
 	}
 	if (
@@ -472,7 +472,7 @@ 
  */
 foreach (array('var_login') as $var) {
 	if (isset($_REQUEST[$var]) and is_array($_REQUEST[$var])) {
-		$ecran_securite_raison = "xss " . $var;
+		$ecran_securite_raison = "xss ".$var;
 	}
 }
 
@@ -520,13 +520,13 @@ 
  */
 if (
 	isset($_REQUEST['nom_sauvegarde'])
-	and strstr((string)$_REQUEST['nom_sauvegarde'], '/')
+	and strstr((string) $_REQUEST['nom_sauvegarde'], '/')
 ) {
 	$ecran_securite_raison = 'nom_sauvegarde manipulee';
 }
 if (
 	isset($_REQUEST['znom_sauvegarde'])
-	and strstr((string)$_REQUEST['znom_sauvegarde'], '/')
+	and strstr((string) $_REQUEST['znom_sauvegarde'], '/')
 ) {
 	$ecran_securite_raison = 'znom_sauvegarde manipulee';
 }
@@ -655,7 +655,7 @@ 
 	foreach ($_REQUEST as $k => $v) {
 		if (is_string($v)
 		  and strpos($v, ':') !== false
-		  and strpos($v, '"') !==false
+		  and strpos($v, '"') !== false
 		  and preg_match(',[bidsaO]:,', $v)
 		  and @unserialize($v)) {
 			$_REQUEST[$k] = htmlentities($v);

Braces +6 added lines, -2 removed lines

@@ -659,8 +659,12 @@
 		  and preg_match(',[bidsaO]:,', $v)
 		  and @unserialize($v)) {
 			$_REQUEST[$k] = htmlentities($v);
-			if (isset($_POST[$k])) $_POST[$k] = $_REQUEST[$k];
-			if (isset($_GET[$k])) $_GET[$k] = $_REQUEST[$k];
+			if (isset($_POST[$k])) {
+			    $_POST[$k] = $_REQUEST[$k];
+			}
+			if (isset($_GET[$k])) {
+			    $_GET[$k] = $_REQUEST[$k];
+			}
 		}
 	}
 }