Gecko [ www.quelfutur.org ]

Name	Size	Permission
acces.php	13.5 KB	-rw----r--
actions.php	5.36 KB	-rw----r--
admin.php	9.46 KB	-rw----r--
auth.php	22.43 KB	-rw----r--
auth_handler.php	300 B	-rw-r--r--
autoriser.php	64.83 KB	-rw----r--
bandeau.php	8.42 KB	-rw----r--
boutons.php	2.49 KB	-rw----r--
charsets.php	28.17 KB	-rw----r--
chercher_logo.php	3.3 KB	-rw----r--
chercher_rubrique.php	11.33 KB	-rw----r--
commencer_page.php	4.49 KB	-rw----r--
completer_traduction.php	2.43 KB	-rw----r--
config.php	13.96 KB	-rw----r--
cookie.php	6.21 KB	-rw----r--
couleurs.php	3.24 KB	-rw----r--
csv.php	3.76 KB	-rw----r--
cvt_autosave.php	4.26 KB	-rw----r--
cvt_configurer.php	7.92 KB	-rw----r--
cvt_multietapes.php	10.15 KB	-rw----r--
definir_menus_favoris.php	1.08 KB	-rw----r--
distant.php	43.91 KB	-rw----r--
documents.php	8.84 KB	-rw----r--
drapeau_edition.php	6.82 KB	-rw----r--
editer.php	22.05 KB	-rw----r--
email_valide.php	1.74 KB	-rw----r--
envoyer_mail.php	7.67 KB	-rw----r--
exporter_csv.php	7.37 KB	-rw----r--
filtres.php	162.08 KB	-rw----r--
filtres_alertes.php	8.29 KB	-rw----r--
filtres_boites.php	4.79 KB	-rw----r--
filtres_dates.php	34.68 KB	-rw----r--
filtres_ecrire.php	17.33 KB	-rw----r--
filtres_images_lib_mini.php	59.89 KB	-rw----r--
filtres_images_mini.php	16.78 KB	-rw----r--
filtres_mime.php	4.72 KB	-rw----r--
filtres_mini.php	6.9 KB	-rw----r--
filtres_selecteur_generique.ph...	8.25 KB	-rw----r--
flock.php	20.88 KB	-rw----r--
genie.php	6.86 KB	-rw----r--
headers.php	7.77 KB	-rw----r--
icone_renommer.php	2.12 KB	-rw----r--
iconifier.php	1.37 KB	-rw----r--
importer_csv.php	4.8 KB	-rw----r--
index.php	2 B	-rw----r--
informer.php	2.95 KB	-rw----r--
install.php	15.69 KB	-rw----r--
invalideur.php	7.99 KB	-rw----r--
journal.php	1.11 KB	-rw----r--
json.php	2.2 KB	-rw----r--
lang.php	14.59 KB	-rw----r--
lang_liste.php	7.23 KB	-rw----r--
layer.php	5.93 KB	-rw----r--
lien.php	8.43 KB	-rw----r--
lien_court.php	1.17 KB	-rw----r--
liens.php	680 B	-rw----r--
lister_objets.php	2.13 KB	-rw----r--
livrer_fichier.php	7.7 KB	-rw----r--
log.php	3.43 KB	-rw----r--
math.php	4.42 KB	-rw----r--
meta.php	9.09 KB	-rw----r--
minipres.php	3.7 KB	-rw----r--
modeles.php	1.42 KB	-rw----r--
modifier.php	11.09 KB	-rw----r--
nfslock.php	11.47 KB	-rw----r--
notifications.php	5.76 KB	-rw----r--
pipelines.php	7.83 KB	-rw----r--
pipelines_ecrire.php	12.04 KB	-rw----r--
plonger.php	3.98 KB	-rw----r--
plugin.php	47.39 KB	-rw----r--
precharger_article.php	2.26 KB	-rw----r--
precharger_objet.php	7.2 KB	-rw----r--
prepare_recherche.php	5.72 KB	-rw----r--
preselectionner_parent_nouvel_...	2.19 KB	-rw----r--
presentation.php	8.63 KB	-rw----r--
presentation_mini.php	8.28 KB	-rw----r--
presenter_enfants.php	6.75 KB	-rw----r--
puce_statut.php	11.94 KB	-rw----r--
queue.php	20.62 KB	-rw----r--
recherche_to_array.php	8.15 KB	-rw----r--
rechercher.php	11.05 KB	-rw----r--
roles.php	12.12 KB	-rw----r--
rubriques.php	28.48 KB	-rw----r--
securiser_action.php	11.99 KB	-rw----r--
selectionner.php	5.27 KB	-rw----r--
session.php	21.59 KB	-rw----r--
simplexml_to_array.php	2.84 KB	-rw----r--
surligne.php	4.14 KB	-rw----r--
svg.php	19.55 KB	-rw----r--
texte.php	11.82 KB	-rw----r--
texte_mini.php	23.49 KB	-rw----r--
traduire.php	11.26 KB	-rw----r--
urls.php	11.05 KB	-rw----r--
utils.php	107.33 KB	-rw----r--
xml.php	7.47 KB	-rw----r--

Code Editor : securiser_action.php

<?php

/***************************************************************************\
 *  SPIP, Système de publication pour l'internet                           *
 *                                                                         *
 *  Copyright © avec tendresse depuis 2001                                 *
 *  Arnaud Martin, Antoine Pitrou, Philippe Rivière, Emmanuel Saint-James  *
 *                                                                         *
 *  Ce programme est un logiciel libre distribué sous licence GNU/GPL.     *
\***************************************************************************/

/**
 * Gestion des actions sécurisées
 *
 * @package SPIP\Core\Actions
 **/

use Spip\Chiffrer\SpipCles;

if (!defined('_ECRIRE_INC_VERSION')) {
	return;
}

/**
 * Génère ou vérifie une action sécurisée
 *
 * Interface d'appel:
 *
 * - au moins un argument: retourne une URL ou un formulaire securisés
 * - sans argument : vérifie la sécurité et retourne `_request('arg')`, ou exit.
 *
 * @uses securiser_action_auteur() Pour produire l'URL ou le formulaire
 * @example
 *     Tester une action reçue et obtenir son argument :
 *     ```
 *     $securiser_action = charger_fonction('securiser_action');
 *     $arg = $securiser_action();
 *     ```
 *
 * @param string $action
 * @param string $arg
 * @param string $redirect
 * @param bool|int|string $mode
 *   - -1 : renvoyer action, arg et hash sous forme de array()
 *   - true ou false : renvoyer une url, avec &amp; (false) ou & (true)
 *   - string : renvoyer un formulaire
 * @param string|int $att
 *   id_auteur pour lequel generer l'action en mode url ou array()
 *   atributs du formulaire en mode formulaire
 * @param bool $public
 * @return array|string
 */
function inc_securiser_action_dist($action = '', $arg = '', $redirect = '', $mode = false, $att = '', $public = false) {
	if ($action) {
		return securiser_action_auteur($action, $arg, $redirect, $mode, $att, $public);
	} else {
		$arg = _request('arg') ?? '';
		$hash = _request('hash') ?? '';
		$action = _request('action') ?: (_request('formulaire_action') ?? '');
		if ($a = verifier_action_auteur("$action-$arg", $hash)) {
			return $arg;
		}
		include_spip('inc/minipres');
		echo minipres();
		exit;
	}
}

/**
 * Confirmer avant suppression si on arrive par un bouton action
 * a appeler dans la fonction action avant toute action destructrice
 *
 * demander_confirmation_avant_action("Supprimer l'article xxxx", "Oui je veux le supprimer");
 *
 * L'action affiche le formulaire de demande de confirmation sans rendre la main au premier appel,
 * si l'utilisateur clique, cela relance l'action avec un confirm et quand on repasse ici, la fonction ne fera rien et l'action se finira normalement
 *
 * @param string $titre
 * @param string $titre_bouton
 * @param string|null $url_action
 * @return bool
 */
function demander_confirmation_avant_action($titre, $titre_bouton, $url_action = null) {

if (!$url_action) {
		$url_action = self();
		$action = _request('action');
		$url_action = parametre_url($url_action, 'action', $action, '&');
	}
	else {
		$action = parametre_url($url_action, 'action');
	}

$arg = parametre_url($url_action, 'arg');
	$confirm = md5("$action:$arg:" . realpath(__FILE__));
	if (_request('confirm_action') === $confirm) {
		return true;
	}

$url_confirm = parametre_url($url_action, 'confirm_action', $confirm, '&');
	include_spip('inc/filtres');
	$bouton_action = bouton_action($titre_bouton, $url_confirm);
	$corps = "<div style='text-align:center;'>$bouton_action</div>";

include_spip('inc/minipres');
	echo minipres($titre, $corps);
	exit;
}

/**
 * Retourne une URL ou un formulaire sécurisés
 *
 * @note
 *   Attention: PHP applique urldecode sur $_GET mais pas sur $_POST
 *   cf http://fr.php.net/urldecode#48481
 *
 * @uses calculer_action_auteur()
 * @uses generer_form_action()
 *
 * @param string $action
 * @param string $arg
 * @param string $redirect
 * @param bool|int|string $mode
 *   - -1 : renvoyer action, arg et hash sous forme de array()
 *   - true ou false : renvoyer une url, avec &amp; (false) ou & (true)
 *   - string : renvoyer un formulaire
 * @param string|int $att
 *   - id_auteur pour lequel générer l'action en mode URL ou array()
 *   - atributs du formulaire en mode formulaire
 * @param bool $public
 * @return array|string
 *    - string URL, si $mode = true ou false,
 *    - string code HTML du formulaire, si $mode texte,
 *    - array Tableau (action=>x, arg=>x, hash=>x) si $mode=-1.
 */
function securiser_action_auteur($action, $arg, $redirect = '', $mode = false, $att = '', $public = false) {

// mode URL ou array
	if (!is_string($mode)) {
		$hash = calculer_action_auteur("$action-$arg", is_numeric($att) ? $att : null);

$r = rawurlencode($redirect);
		if ($mode === -1) {
			return ['action' => $action, 'arg' => $arg, 'hash' => $hash];
		} else {
			return generer_url_action(
				$action,
				'arg=' . rawurlencode($arg) . "&hash=$hash" . (!$r ? '' : "&redirect=$r"),
				$mode,
				$public
			);
		}
	}

// mode formulaire
	$hash = calculer_action_auteur("$action-$arg");
	$att .= " style='margin: 0px; border: 0px'";
	if ($redirect) {
		$redirect = "\n\t\t<input name='redirect' type='hidden' value='" . str_replace("'", '&#39;', $redirect) . "'>";
	}
	$mode .= $redirect . "
<input name='hash' type='hidden' value='$hash'>
<input name='arg' type='hidden' value='$arg'>";

return generer_form_action($action, $mode, $att, $public);
}

/**
 * Caracteriser un auteur : l'auteur loge si $id_auteur=null
 *
 * @param int|null $id_auteur
 * @return array
 */
function caracteriser_auteur($id_auteur = null) {
	static $caracterisation = [];

if (is_null($id_auteur) and !isset($GLOBALS['visiteur_session']['id_auteur'])) {
		// si l'auteur courant n'est pas connu alors qu'il peut demander une action
		// c'est une connexion par php_auth ou 1 instal, on se rabat sur le cookie.
		// S'il n'avait pas le droit de realiser cette action, le hash sera faux.
		if (
			isset($_COOKIE['spip_session'])
			and (preg_match('/^(\d+)/', $_COOKIE['spip_session'], $r))
		) {
			return [$r[1], ''];
			// Necessaire aux forums anonymes.
			// Pour le reste, ca echouera.
		} else {
			return ['0', ''];
		}
	}
	// Eviter l'acces SQL si le pass est connu de PHP
	if (is_null($id_auteur)) {
		$id_auteur = $GLOBALS['visiteur_session']['id_auteur'] ?? 0;
		if (isset($GLOBALS['visiteur_session']['pass']) and $GLOBALS['visiteur_session']['pass']) {
			return $caracterisation[$id_auteur] = [$id_auteur, $GLOBALS['visiteur_session']['pass']];
		}
	}

if (isset($caracterisation[$id_auteur])) {
		return $caracterisation[$id_auteur];
	}

if ($id_auteur) {
		include_spip('base/abstract_sql');
		$t = sql_fetsel('id_auteur, pass', 'spip_auteurs', "id_auteur=$id_auteur");
		if ($t) {
			return $caracterisation[$id_auteur] = [$t['id_auteur'], $t['pass']];
		}
		include_spip('inc/minipres');
		echo minipres();
		exit;
	} // Visiteur anonyme, pour ls forums par exemple
	else {
		return ['0', ''];
	}
}

/**
 * Calcule une cle securisee pour une action et un auteur donnes
 * utilisee pour generer des urls personelles pour executer une action qui modifie la base
 * et verifier la legitimite de l'appel a l'action
 *
 * @param string $action
 * @param int $id_auteur
 * @param string $pass
 * @param string $alea
 * @return string
 */
function _action_auteur(
	string $action,
	int $id_auteur,
	#[\SensitiveParameter]
	?string $pass,
	string $alea
): string {
	static $sha = [];
	$pass = $pass ?? '';
	$entry = "$action:$id_auteur:$pass:$alea";
	if (!isset($sha[$entry])) {
		$sha[$entry] = hash_hmac('sha256', "$action::$id_auteur", "$pass::" . _action_get_alea($alea));
	}

return $sha[$entry];
}

/**
 * Calculer le hash qui signe une action pour un auteur
 *
 * @param string $action
 * @param int|null $id_auteur
 * @return string
 */
function calculer_action_auteur($action, $id_auteur = null) {
	[$id_auteur, $pass] = caracteriser_auteur($id_auteur);

return _action_auteur($action, $id_auteur, $pass, 'alea_ephemere');
}

/**
 * Verifier le hash de signature d'une action
 * toujours exclusivement pour l'auteur en cours
 *
 * @param $action
 * @param $hash
 * @return bool
 */
function verifier_action_auteur($action, $hash) {
	[$id_auteur, $pass] = caracteriser_auteur();
	if (
		hash_equals($hash, _action_auteur($action, $id_auteur, $pass, 'alea_ephemere'))
		or hash_equals($hash, _action_auteur($action, $id_auteur, $pass, 'alea_ephemere_ancien'))
	) {
		return true;
	}

return false;
}

//
// Des fonctions independantes du visiteur, qui permettent de controler
// par exemple que l'URL d'un document a la bonne cle de lecture
//

/**
 * Renvoyer le secret du site (le generer si il n'existe pas encore)
 *
 * @uses SpipCles::secret_du_site()
 * @return string
 */
function secret_du_site() {
	return SpipCles::secret_du_site();
}

/**
 * Calculer une signature valable pour une action et pour le site
 *
 * @param string $action
 * @return string
 */
function calculer_cle_action($action) {
	return hash_hmac('sha256', $action, secret_du_site());
}

/**
 * Verifier la cle de signature d'une action valable pour le site
 *
 * @param string $action
 * @param string $cle
 * @return bool
 */
function verifier_cle_action(
	$action,
	#[\SensitiveParameter]
	$cle
) {
	return hash_equals($cle, calculer_cle_action($action));
}

/**
 * Calculer le token de prévisu
 *
 * Il permettra de transmettre une URL publique d’un élément non encore publié,
 * pour qu’une personne tierce le relise. Valable quelques temps.
 *
 * @see verifier_token_previsu()
 * @param string $url Url à autoriser en prévisu
 * @param int|null id_auteur qui génère le token de prévisu. Null utilisera auteur courant.
 * @param string $alea Nom de l’alea à utiliser
 * @return string Token, de la forme "{id}*{hash}"
 */
function calculer_token_previsu($url, $id_auteur = null, $alea = 'alea_ephemere') {
	if (is_null($id_auteur)) {
		if (!empty($GLOBALS['visiteur_session']['id_auteur'])) {
			$id_auteur = $GLOBALS['visiteur_session']['id_auteur'];
		}
	}
	if (!$id_auteur = intval($id_auteur)) {
		return '';
	}
	// On nettoie l’URL de tous les var_.
	$url = nettoyer_uri_var($url);

$token = _action_auteur('previsualiser-' . $url, $id_auteur, secret_du_site(), $alea);
	return "$id_auteur-$token";
}

/**
 * Vérifie un token de prévisu
 *
 * Découpe le token pour avoir l’id_auteur,
 * Retrouve à partir de l’url un objet/id_objet en cours de parcours
 * Recrée un token pour l’auteur et l’objet trouvé et le compare au token.
 *
 * @see calculer_token_previsu()
 * @param string $token Token, de la forme '{id}*{hash}'
 * @return false|array
 *     - `False` si echec,
 *     + Tableau (id auteur, type d’objet, id_objet) sinon.
 */
function verifier_token_previsu(
	#[\SensitiveParameter]
	$token
) {
	// retrouver auteur / hash
	$e = explode('-', $token, 2);
	if (count($e) == 2 and is_numeric(reset($e))) {
		$id_auteur = intval(reset($e));
	} else {
		return false;
	}

// calculer le type et id de l’url actuelle
	include_spip('inc/urls');
	include_spip('inc/filtres_mini');
	$url = url_absolue(self());

// verifier le token
	$_token = calculer_token_previsu($url, $id_auteur, 'alea_ephemere');
	if (!$_token or !hash_equals($token, $_token)) {
		$_token = calculer_token_previsu($url, $id_auteur, 'alea_ephemere_ancien');
		if (!$_token or !hash_equals($token, $_token)) {
			return false;
		}
	}

return [
		'id_auteur' => $id_auteur,
	];
}

/**
 * Décrire un token de prévisu en session
 * @uses verifier_token_previsu()
 * @return bool|array
 */
function decrire_token_previsu() {
	static $desc = null;
	if (is_null($desc)) {
		if ($token = _request('var_previewtoken')) {
			$desc = verifier_token_previsu($token);
		} else {
			$desc = false;
		}
	}
	return $desc;
}

${this.title}

Code Editor : securiser_action.php