spip / SPIP

ecrire/inc/securiser_action.php

Doc Comments +2 added lines, -1 removed lines

@@ -77,7 +77,7 @@ 
  * @param string $titre
  * @param string $titre_bouton
  * @param string|null $url_action
- * @return bool
+ * @return boolean|null
  */
 function demander_confirmation_avant_action($titre, $titre_bouton, $url_action=null) {
 
@@ -351,6 +351,7 @@ 
  * @param string $url Url à autoriser en prévisu
  * @param int|null id_auteur qui génère le token de prévisu. Null utilisera auteur courant.
  * @param string $alea Nom de l’alea à utiliser
+ * @param integer $id_auteur
  * @return string Token, de la forme "{id}*{hash}"
  */
 function calculer_token_previsu($url, $id_auteur = null, $alea = 'alea_ephemere') {

Indentation +204 added lines, -204 removed lines

@@ -17,7 +17,7 @@ 
  **/
 
 if (!defined('_ECRIRE_INC_VERSION')) {
-	return;
+    return;
 }
 
 /**
@@ -50,19 +50,19 @@ 
  * @return array|string
  */
 function inc_securiser_action_dist($action = '', $arg = '', $redirect = "", $mode = false, $att = '', $public = false) {
-	if ($action) {
-		return securiser_action_auteur($action, $arg, $redirect, $mode, $att, $public);
-	} else {
-		$arg = _request('arg');
-		$hash = _request('hash');
-		$action = _request('action') ? _request('action') : _request('formulaire_action');
-		if ($a = verifier_action_auteur("$action-$arg", $hash)) {
-			return $arg;
-		}
-		include_spip('inc/minipres');
-		echo minipres();
-		exit;
-	}
+    if ($action) {
+        return securiser_action_auteur($action, $arg, $redirect, $mode, $att, $public);
+    } else {
+        $arg = _request('arg');
+        $hash = _request('hash');
+        $action = _request('action') ? _request('action') : _request('formulaire_action');
+        if ($a = verifier_action_auteur("$action-$arg", $hash)) {
+            return $arg;
+        }
+        include_spip('inc/minipres');
+        echo minipres();
+        exit;
+    }
 }
 
 /**
@@ -81,29 +81,29 @@ 
  */
 function demander_confirmation_avant_action($titre, $titre_bouton, $url_action=null) {
 
-	if (!$url_action) {
-		$url_action = self();
-		$action = _request('action');
-		$url_action = parametre_url($url_action, 'action', $action, '&');
-	}
-	else {
-		$action = parametre_url($url_action, 'action');
-	}
-
-	$arg = parametre_url($url_action, 'arg');
-	$confirm = md5("$action:$arg:".realpath(__FILE__));
-	if (_request('confirm_action') === $confirm) {
-		return true;
-	}
-
-	$url_confirm = parametre_url($url_action, "confirm_action", $confirm, '&');
-	include_spip("inc/filtres");
-	$bouton_action = bouton_action($titre_bouton, $url_confirm);
-	$corps = "<div style='text-align:center;'>$bouton_action</div>";
-
-	include_spip("inc/minipres");
-	echo minipres($titre,$corps);
-	exit;
+    if (!$url_action) {
+        $url_action = self();
+        $action = _request('action');
+        $url_action = parametre_url($url_action, 'action', $action, '&');
+    }
+    else {
+        $action = parametre_url($url_action, 'action');
+    }
+
+    $arg = parametre_url($url_action, 'arg');
+    $confirm = md5("$action:$arg:".realpath(__FILE__));
+    if (_request('confirm_action') === $confirm) {
+        return true;
+    }
+
+    $url_confirm = parametre_url($url_action, "confirm_action", $confirm, '&');
+    include_spip("inc/filtres");
+    $bouton_action = bouton_action($titre_bouton, $url_confirm);
+    $corps = "<div style='text-align:center;'>$bouton_action</div>";
+
+    include_spip("inc/minipres");
+    echo minipres($titre,$corps);
+    exit;
 }
 
 /**
@@ -135,30 +135,30 @@ 
  */
 function securiser_action_auteur($action, $arg, $redirect = "", $mode = false, $att = '', $public = false) {
 
-	// mode URL ou array
-	if (!is_string($mode)) {
-		$hash = calculer_action_auteur("$action-$arg", is_numeric($att) ? $att : null);
-
-		$r = rawurlencode($redirect);
-		if ($mode === -1) {
-			return array('action' => $action, 'arg' => $arg, 'hash' => $hash);
-		} else {
-			return generer_url_action($action, "arg=" . rawurlencode($arg) . "&hash=$hash" . (!$r ? '' : "&redirect=$r"),
-				$mode, $public);
-		}
-	}
-
-	// mode formulaire
-	$hash = calculer_action_auteur("$action-$arg");
-	$att .= " style='margin: 0px; border: 0px'";
-	if ($redirect) {
-		$redirect = "\n\t\t<input name='redirect' type='hidden' value='" . str_replace("'", '&#39;', $redirect) . "' />";
-	}
-	$mode .= $redirect . "
+    // mode URL ou array
+    if (!is_string($mode)) {
+        $hash = calculer_action_auteur("$action-$arg", is_numeric($att) ? $att : null);
+
+        $r = rawurlencode($redirect);
+        if ($mode === -1) {
+            return array('action' => $action, 'arg' => $arg, 'hash' => $hash);
+        } else {
+            return generer_url_action($action, "arg=" . rawurlencode($arg) . "&hash=$hash" . (!$r ? '' : "&redirect=$r"),
+                $mode, $public);
+        }
+    }
+
+    // mode formulaire
+    $hash = calculer_action_auteur("$action-$arg");
+    $att .= " style='margin: 0px; border: 0px'";
+    if ($redirect) {
+        $redirect = "\n\t\t<input name='redirect' type='hidden' value='" . str_replace("'", '&#39;', $redirect) . "' />";
+    }
+    $mode .= $redirect . "
 <input name='hash' type='hidden' value='$hash' />
 <input name='arg' type='hidden' value='$arg' />";
 
-	return generer_form_action($action, $mode, $att, $public);
+    return generer_form_action($action, $mode, $att, $public);
 }
 
 /**
@@ -168,47 +168,47 @@ 
  * @return array
  */
 function caracteriser_auteur($id_auteur = null) {
-	static $caracterisation = array();
-
-	if (is_null($id_auteur) and !isset($GLOBALS['visiteur_session']['id_auteur'])) {
-		// si l'auteur courant n'est pas connu alors qu'il peut demander une action
-		// c'est une connexion par php_auth ou 1 instal, on se rabat sur le cookie.
-		// S'il n'avait pas le droit de realiser cette action, le hash sera faux.
-		if (isset($_COOKIE['spip_session'])
-			and (preg_match('/^(\d+)/', $_COOKIE['spip_session'], $r))
-		) {
-			return array($r[1], '');
-			// Necessaire aux forums anonymes.
-			// Pour le reste, ca echouera.
-		} else {
-			return array('0', '');
-		}
-	}
-	// Eviter l'acces SQL si le pass est connu de PHP
-	if (is_null($id_auteur)) {
-		$id_auteur = isset($GLOBALS['visiteur_session']['id_auteur']) ? $GLOBALS['visiteur_session']['id_auteur'] : 0;
-		if (isset($GLOBALS['visiteur_session']['pass']) and $GLOBALS['visiteur_session']['pass']) {
-			return $caracterisation[$id_auteur] = array($id_auteur, $GLOBALS['visiteur_session']['pass']);
-		}
-	}
-
-	if (isset($caracterisation[$id_auteur])) {
-		return $caracterisation[$id_auteur];
-	}
-
-	if ($id_auteur) {
-		include_spip('base/abstract_sql');
-		$t = sql_fetsel("id_auteur, pass", "spip_auteurs", "id_auteur=$id_auteur");
-		if ($t) {
-			return $caracterisation[$id_auteur] = array($t['id_auteur'], $t['pass']);
-		}
-		include_spip('inc/minipres');
-		echo minipres();
-		exit;
-	} // Visiteur anonyme, pour ls forums par exemple
-	else {
-		return array('0', '');
-	}
+    static $caracterisation = array();
+
+    if (is_null($id_auteur) and !isset($GLOBALS['visiteur_session']['id_auteur'])) {
+        // si l'auteur courant n'est pas connu alors qu'il peut demander une action
+        // c'est une connexion par php_auth ou 1 instal, on se rabat sur le cookie.
+        // S'il n'avait pas le droit de realiser cette action, le hash sera faux.
+        if (isset($_COOKIE['spip_session'])
+            and (preg_match('/^(\d+)/', $_COOKIE['spip_session'], $r))
+        ) {
+            return array($r[1], '');
+            // Necessaire aux forums anonymes.
+            // Pour le reste, ca echouera.
+        } else {
+            return array('0', '');
+        }
+    }
+    // Eviter l'acces SQL si le pass est connu de PHP
+    if (is_null($id_auteur)) {
+        $id_auteur = isset($GLOBALS['visiteur_session']['id_auteur']) ? $GLOBALS['visiteur_session']['id_auteur'] : 0;
+        if (isset($GLOBALS['visiteur_session']['pass']) and $GLOBALS['visiteur_session']['pass']) {
+            return $caracterisation[$id_auteur] = array($id_auteur, $GLOBALS['visiteur_session']['pass']);
+        }
+    }
+
+    if (isset($caracterisation[$id_auteur])) {
+        return $caracterisation[$id_auteur];
+    }
+
+    if ($id_auteur) {
+        include_spip('base/abstract_sql');
+        $t = sql_fetsel("id_auteur, pass", "spip_auteurs", "id_auteur=$id_auteur");
+        if ($t) {
+            return $caracterisation[$id_auteur] = array($t['id_auteur'], $t['pass']);
+        }
+        include_spip('inc/minipres');
+        echo minipres();
+        exit;
+    } // Visiteur anonyme, pour ls forums par exemple
+    else {
+        return array('0', '');
+    }
 }
 
 /**
@@ -223,28 +223,28 @@ 
  * @return string
  */
 function _action_auteur($action, $id_auteur, $pass, $alea) {
-	static $sha = array();
-	if (!isset($sha[$id_auteur . $pass . $alea])) {
-		if (!isset($GLOBALS['meta'][$alea])) {
-			if (!$exec = _request('exec') or !autoriser_sans_cookie($exec)){
-				include_spip('inc/acces');
-				charger_aleas();
-				if (empty($GLOBALS['meta'][$alea])){
-					include_spip('inc/minipres');
-					echo minipres();
-					spip_log("$alea indisponible");
-					exit;
-				}
-			}
-		}
-		include_spip('auth/sha256.inc');
-		$sha[$id_auteur . $pass . $alea] = spip_sha256($id_auteur . $pass . @$GLOBALS['meta'][$alea]);
-	}
-	if (function_exists('sha1')) {
-		return sha1($action . $sha[$id_auteur . $pass . $alea]);
-	} else {
-		return md5($action . $sha[$id_auteur . $pass . $alea]);
-	}
+    static $sha = array();
+    if (!isset($sha[$id_auteur . $pass . $alea])) {
+        if (!isset($GLOBALS['meta'][$alea])) {
+            if (!$exec = _request('exec') or !autoriser_sans_cookie($exec)){
+                include_spip('inc/acces');
+                charger_aleas();
+                if (empty($GLOBALS['meta'][$alea])){
+                    include_spip('inc/minipres');
+                    echo minipres();
+                    spip_log("$alea indisponible");
+                    exit;
+                }
+            }
+        }
+        include_spip('auth/sha256.inc');
+        $sha[$id_auteur . $pass . $alea] = spip_sha256($id_auteur . $pass . @$GLOBALS['meta'][$alea]);
+    }
+    if (function_exists('sha1')) {
+        return sha1($action . $sha[$id_auteur . $pass . $alea]);
+    } else {
+        return md5($action . $sha[$id_auteur . $pass . $alea]);
+    }
 }
 
 /**
@@ -255,9 +255,9 @@ 
  * @return string
  */
 function calculer_action_auteur($action, $id_auteur = null) {
-	list($id_auteur, $pass) = caracteriser_auteur($id_auteur);
+    list($id_auteur, $pass) = caracteriser_auteur($id_auteur);
 
-	return _action_auteur($action, $id_auteur, $pass, 'alea_ephemere');
+    return _action_auteur($action, $id_auteur, $pass, 'alea_ephemere');
 }
 
 
@@ -270,15 +270,15 @@ 
  * @return bool
  */
 function verifier_action_auteur($action, $hash) {
-	list($id_auteur, $pass) = caracteriser_auteur();
-	if ($hash == _action_auteur($action, $id_auteur, $pass, 'alea_ephemere')) {
-		return true;
-	}
-	if ($hash == _action_auteur($action, $id_auteur, $pass, 'alea_ephemere_ancien')) {
-		return true;
-	}
-
-	return false;
+    list($id_auteur, $pass) = caracteriser_auteur();
+    if ($hash == _action_auteur($action, $id_auteur, $pass, 'alea_ephemere')) {
+        return true;
+    }
+    if ($hash == _action_auteur($action, $id_auteur, $pass, 'alea_ephemere_ancien')) {
+        return true;
+    }
+
+    return false;
 }
 
 //
@@ -294,25 +294,25 @@ 
  * @return string
  */
 function secret_du_site() {
-	if (!isset($GLOBALS['meta']['secret_du_site'])) {
-		include_spip('base/abstract_sql');
-		$GLOBALS['meta']['secret_du_site'] = sql_getfetsel('valeur', 'spip_meta', "nom='secret_du_site'");
-	}
-	if (!isset($GLOBALS['meta']['secret_du_site'])
-		or (strlen($GLOBALS['meta']['secret_du_site']) < 64)
-	) {
-		include_spip('inc/acces');
-		include_spip('auth/sha256.inc');
-		ecrire_meta('secret_du_site',
-			spip_sha256(
-				$_SERVER["DOCUMENT_ROOT"] 
-				. (isset($_SERVER['SERVER_SIGNATURE']) ? $_SERVER["SERVER_SIGNATURE"] : "")
-				. creer_uniqid()
-			), 'non');
-		lire_metas(); // au cas ou ecrire_meta() ne fonctionne pas
-	}
-
-	return $GLOBALS['meta']['secret_du_site'];
+    if (!isset($GLOBALS['meta']['secret_du_site'])) {
+        include_spip('base/abstract_sql');
+        $GLOBALS['meta']['secret_du_site'] = sql_getfetsel('valeur', 'spip_meta', "nom='secret_du_site'");
+    }
+    if (!isset($GLOBALS['meta']['secret_du_site'])
+        or (strlen($GLOBALS['meta']['secret_du_site']) < 64)
+    ) {
+        include_spip('inc/acces');
+        include_spip('auth/sha256.inc');
+        ecrire_meta('secret_du_site',
+            spip_sha256(
+                $_SERVER["DOCUMENT_ROOT"] 
+                . (isset($_SERVER['SERVER_SIGNATURE']) ? $_SERVER["SERVER_SIGNATURE"] : "")
+                . creer_uniqid()
+            ), 'non');
+        lire_metas(); // au cas ou ecrire_meta() ne fonctionne pas
+    }
+
+    return $GLOBALS['meta']['secret_du_site'];
 }
 
 /**
@@ -322,11 +322,11 @@ 
  * @return string
  */
 function calculer_cle_action($action) {
-	if (function_exists('sha1')) {
-		return sha1($action . secret_du_site());
-	} else {
-		return md5($action . secret_du_site());
-	}
+    if (function_exists('sha1')) {
+        return sha1($action . secret_du_site());
+    } else {
+        return md5($action . secret_du_site());
+    }
 }
 
 /**
@@ -337,7 +337,7 @@ 
  * @return bool
  */
 function verifier_cle_action($action, $cle) {
-	return ($cle == calculer_cle_action($action));
+    return ($cle == calculer_cle_action($action));
 }
 
 
@@ -354,19 +354,19 @@ 
  * @return string Token, de la forme "{id}*{hash}"
  */
 function calculer_token_previsu($url, $id_auteur = null, $alea = 'alea_ephemere') {
-	if (is_null($id_auteur)) {
-		if (!empty($GLOBALS['visiteur_session']['id_auteur'])) {
-			$id_auteur = $GLOBALS['visiteur_session']['id_auteur'];
-		}
-	}
-	if (!$id_auteur = intval($id_auteur)) {
-		return "";
-	}
-	// On nettoie l’URL de tous les var_.
-	$url = nettoyer_uri_var($url);
-
-	$token = _action_auteur('previsualiser-' . $url, $id_auteur, null, $alea);
-	return "$id_auteur-$token";
+    if (is_null($id_auteur)) {
+        if (!empty($GLOBALS['visiteur_session']['id_auteur'])) {
+            $id_auteur = $GLOBALS['visiteur_session']['id_auteur'];
+        }
+    }
+    if (!$id_auteur = intval($id_auteur)) {
+        return "";
+    }
+    // On nettoie l’URL de tous les var_.
+    $url = nettoyer_uri_var($url);
+
+    $token = _action_auteur('previsualiser-' . $url, $id_auteur, null, $alea);
+    return "$id_auteur-$token";
 }
 
 
@@ -384,31 +384,31 @@ 
  *     + Tableau (id auteur, type d’objet, id_objet) sinon.
  */
 function verifier_token_previsu($token) {
-	// retrouver auteur / hash
-	$e = explode('-', $token, 2);
-	if (count($e) == 2 and is_numeric(reset($e))) {
-		$id_auteur = intval(reset($e));
-	} else {
-		return false;
-	}
-
-	// calculer le type et id de l’url actuelle
-	include_spip('inc/urls');
-	include_spip('inc/filtres_mini');
-	$url = url_absolue(self());
-
-	// verifier le token
-	$_token = calculer_token_previsu($url, $id_auteur, 'alea_ephemere');
-	if (!$_token or $token !== $_token) {
-		$_token = calculer_token_previsu($url, $id_auteur, 'alea_ephemere_ancien');
-		if (!$_token or $token !== $_token) {
-			return false;
-		}
-	}
-
-	return array(
-		'id_auteur' => $id_auteur,
-	);
+    // retrouver auteur / hash
+    $e = explode('-', $token, 2);
+    if (count($e) == 2 and is_numeric(reset($e))) {
+        $id_auteur = intval(reset($e));
+    } else {
+        return false;
+    }
+
+    // calculer le type et id de l’url actuelle
+    include_spip('inc/urls');
+    include_spip('inc/filtres_mini');
+    $url = url_absolue(self());
+
+    // verifier le token
+    $_token = calculer_token_previsu($url, $id_auteur, 'alea_ephemere');
+    if (!$_token or $token !== $_token) {
+        $_token = calculer_token_previsu($url, $id_auteur, 'alea_ephemere_ancien');
+        if (!$_token or $token !== $_token) {
+            return false;
+        }
+    }
+
+    return array(
+        'id_auteur' => $id_auteur,
+    );
 }
 
 /**
@@ -417,13 +417,13 @@ 
  * @return bool|array
  */
 function decrire_token_previsu() {
-	static $desc = null;
-	if (is_null($desc)) {
-		if ($token = _request('var_previewtoken')) {
-			$desc = verifier_token_previsu($token);
-		} else {
-			$desc = false;
-		}
-	}
-	return $desc;
+    static $desc = null;
+    if (is_null($desc)) {
+        if ($token = _request('var_previewtoken')) {
+            $desc = verifier_token_previsu($token);
+        } else {
+            $desc = false;
+        }
+    }
+    return $desc;
 }
\ No newline at end of file

Spacing +14 added lines, -14 removed lines

@@ -79,7 +79,7 @@ 
  * @param string|null $url_action
  * @return bool
  */
-function demander_confirmation_avant_action($titre, $titre_bouton, $url_action=null) {
+function demander_confirmation_avant_action($titre, $titre_bouton, $url_action = null) {
 
 	if (!$url_action) {
 		$url_action = self();
@@ -102,7 +102,7 @@ 
 	$corps = "<div style='text-align:center;'>$bouton_action</div>";
 
 	include_spip("inc/minipres");
-	echo minipres($titre,$corps);
+	echo minipres($titre, $corps);
 	exit;
 }
 
@@ -143,7 +143,7 @@ 
 		if ($mode === -1) {
 			return array('action' => $action, 'arg' => $arg, 'hash' => $hash);
 		} else {
-			return generer_url_action($action, "arg=" . rawurlencode($arg) . "&hash=$hash" . (!$r ? '' : "&redirect=$r"),
+			return generer_url_action($action, "arg=".rawurlencode($arg)."&hash=$hash".(!$r ? '' : "&redirect=$r"),
 				$mode, $public);
 		}
 	}
@@ -152,9 +152,9 @@ 
 	$hash = calculer_action_auteur("$action-$arg");
 	$att .= " style='margin: 0px; border: 0px'";
 	if ($redirect) {
-		$redirect = "\n\t\t<input name='redirect' type='hidden' value='" . str_replace("'", '&#39;', $redirect) . "' />";
+		$redirect = "\n\t\t<input name='redirect' type='hidden' value='".str_replace("'", '&#39;', $redirect)."' />";
 	}
-	$mode .= $redirect . "
+	$mode .= $redirect."
 <input name='hash' type='hidden' value='$hash' />
 <input name='arg' type='hidden' value='$arg' />";
 
@@ -224,12 +224,12 @@ 
  */
 function _action_auteur($action, $id_auteur, $pass, $alea) {
 	static $sha = array();
-	if (!isset($sha[$id_auteur . $pass . $alea])) {
+	if (!isset($sha[$id_auteur.$pass.$alea])) {
 		if (!isset($GLOBALS['meta'][$alea])) {
-			if (!$exec = _request('exec') or !autoriser_sans_cookie($exec)){
+			if (!$exec = _request('exec') or !autoriser_sans_cookie($exec)) {
 				include_spip('inc/acces');
 				charger_aleas();
-				if (empty($GLOBALS['meta'][$alea])){
+				if (empty($GLOBALS['meta'][$alea])) {
 					include_spip('inc/minipres');
 					echo minipres();
 					spip_log("$alea indisponible");
@@ -238,12 +238,12 @@ 
 			}
 		}
 		include_spip('auth/sha256.inc');
-		$sha[$id_auteur . $pass . $alea] = spip_sha256($id_auteur . $pass . @$GLOBALS['meta'][$alea]);
+		$sha[$id_auteur.$pass.$alea] = spip_sha256($id_auteur.$pass.@$GLOBALS['meta'][$alea]);
 	}
 	if (function_exists('sha1')) {
-		return sha1($action . $sha[$id_auteur . $pass . $alea]);
+		return sha1($action.$sha[$id_auteur.$pass.$alea]);
 	} else {
-		return md5($action . $sha[$id_auteur . $pass . $alea]);
+		return md5($action.$sha[$id_auteur.$pass.$alea]);
 	}
 }
 
@@ -323,9 +323,9 @@ 
  */
 function calculer_cle_action($action) {
 	if (function_exists('sha1')) {
-		return sha1($action . secret_du_site());
+		return sha1($action.secret_du_site());
 	} else {
-		return md5($action . secret_du_site());
+		return md5($action.secret_du_site());
 	}
 }
 
@@ -365,7 +365,7 @@ 
 	// On nettoie l’URL de tous les var_.
 	$url = nettoyer_uri_var($url);
 
-	$token = _action_auteur('previsualiser-' . $url, $id_auteur, null, $alea);
+	$token = _action_auteur('previsualiser-'.$url, $id_auteur, null, $alea);
 	return "$id_auteur-$token";
 }
 

Braces +1 added lines, -2 removed lines

@@ -85,8 +85,7 @@
 		$url_action = self();
 		$action = _request('action');
 		$url_action = parametre_url($url_action, 'action', $action, '&');
-	}
-	else {
+	} else {
 		$action = parametre_url($url_action, 'action');
 	}