En 2007 j’avais trouvé sur le blog de l’excellent Korben un petite fonction pour empêcher les failles XSS ou Cross Site Scripting en PHP.
Hélas, depuis le temps, cette fonction comporte toujours une petite erreur (la fonction strip_tags renvoie une valeur de retour) qui n’a toujours pas été corrigée depuis. Ca fait jamais que 9 ans à l’heure ou j’écris ces lignes 😉

Voici donc la même fonction, légèrement corrigée.


function antixss($input) {
$new=strip_tags($input);
$new = htmlspecialchars($new, ENT_QUOTES);
return $new;
}


Et pour l’utiliser, voici un exemple avec le paramètre « name » passé avec la methode GET

$value = antixss($_GET["name"]);

ou la méthode POST

$value = antixss($_POST["name"]);

Petite explication pour ceux qui ignorent ce qu’est une faille XSS ou Cross Site Scripting: Il s’agit d’un méthode très utilisée par les hackers qui consiste simplement à faire exécuter du code dans une page web en l’injectant dans un formulaire ou une url.

Un exemple simple pour comprendre:
Admettons que vous ayez un formulaire sur votre site, par exemple un formulaire de contact. Si vous faites en sorte que le contenu des champs du formulaire s’affiche sur la page lors de sa validation (par exemple pour en confirmer les informations), et qu’un petit malin met du code javascript genre

<script>alert('coucou')</script>

Une fenêtre « Coucou » va s’afficher à l’écran!
Cet exemple est inoffensif, mais un hacker un peu chevronné peut facilement pirater une base de données grâce à cette méthode…

Alors protégez-vous bien!

Parfois, on ne peut pas travailler sur un site de développement. Faire des modifications en live sur un site en production est loin d’être l’idéal, mais on a parfois des contraintes qui nous dépassent…
Bref, dans ce cas, j’essaye autant que possible d’utiliser une petite technique pour tenter de limiter les dégâts: N’autoriser que mon adresse IP à voir certaines parties d’une page.

Voici le code que j’utilise habituellement:

<?php
$monip="XXX.XXX.XXX.XXX";
if ($_SERVER["REMOTE_ADDR"]==$monip)
{
@include("monfichiertest.php");
}
?>

Vosu remplacerez XXX.XXX.XXX.XXX par votre adresse IP (que vous pourrez trouver ici par exemple).
Pour le reste, vous n’avez qu’a mettre vos modifications de page dans le fichier monfichiertest.php.
vous remarquerez le @ devant l’include: en cas d’erreur php, ça évitera que la page ne s’affiche plus du tout.

Cette technique peut aussi être utilisée pour faire une blague à quelqu’un dont vous connaissez l’adresse IP. Par exemple pour un poisson d’Avril… Soyez imaginatifs… 😉

Quand on change le nom de domaine d’un site, il faut faire des redirections vers le nouveau domaine.
C’est également valable si vous voulez que votre site soit référencé avec son url en www et pas avec la version sans www (je suis clair?).

Voici un petit script php à mettre tout en haut de vos pages, pour faire ces redirections automatiquement:


<?php
if ($_SERVER["HTTP_HOST"]!="www.mon-domaine.com")
{
header("Status: 301 Moved Permanently", false, 301);
header("Location: http://www.mon-domaine.com" . $_SERVER["REQUEST_URI"]);
exit();
}
?>


En gros ce morceau de code redirige tout ce qui n’est pas www.mon-domaine.com vers www.mon-domaine.com, tout en conservant le reste de l’url de la page demandée.

Personnellement, je préfère faire la même chose avec le fichier .htaccess (comme je l’ai déjà expliqué ici) plutôt qu’en php, mais parfois ça peut se révéler impossible, donc plan B…

Pas plus tard qu’hier, je l’ai fait sur un blog WordPress. La mise en place est simple, il suffit de mettre ce code en tout début du fichier header.php du thème utilisé.