Eric a écrit:

avant tout, j'aimerai l'avis de plg et du reste de l'équipe sur la pertinence d'un tel dispositif. Je ne maitrise pas vraiment les risques que pourrait engendrer l'insertion de code à la place du username à l'inscription.

+1.

Car pour le moment, je n'ai réussi à provoquer l'ouverture d'une fenêtre popup, que dans l'administration. Mais, pour le coup, ça "fonctionne" très bien.

flop25 a écrit:

solution :

http://php.net/manual/fr/function.strip-tags.php

Pas plutôt http://fr.php.net/manual/fr/function.ht … lchars.php ?

flop25 a écrit:

vous pouvez créer un ticket dans le bugtracker

[Bugtracker] ticket 2234

:-)

Gotcha a écrit:

Merci Luc pour l'ouverture du ticket :-)

Mais de rien :-) !

Gotcha a écrit:

Quand à la solution, là comme ça je dirait que vos 2 idées sont bonnes mais...
Mais je suis plus partisan de bloquer l'inscription en cas de présence d'un caractère interdit. Ca ne sert à rien de laisser entrer un visiteur qui va créer un compte et ne pas pouvoir s'identifier parceque Piwigo aura formaté son identifiant.

L'idée était plus que les caractères spéciaux soient affichés. En utilisant htmlspecialchars (de façon judicieuse), on permet que l'utilisateur qui s'enregistre avec le compte « A<p>B</p> » ne soit pas affiché

A

    B

mais

A<p>B</p>

C'est exactement ce que fait le forum d'ailleurs, car à chacun des « <p> » du présent message, par exemple, il n'affiche pas un nouveau paragraphe, mais « <p> » tout simplement. Car il convertit « < » en « &lt; » etc (comme cela se vérifie très simplement dans le "code source" de la présente page), et ça affiche « < », tout simplement.

Gotcha a écrit:

Bon ok, je n'ai jamais vu un membre avec un nom comportant des balises HTML/PHP ^_^;

Moi non plus... mais je crains qu'après le présent sujet on en voie, hélas...

Disons en tous cas qu'on voit souvent des tentatives malveillantes sur le net.

Dernière modification par LucMorizur (2011-03-29 00:28:36)

Gotcha a écrit:

Merci Luc pour l'ouverture du ticket :-)

Quand à la solution, là comme ça je dirait que vos 2 idées sont bonnes mais...
Mais je suis plus partisan de bloquer l'inscription en cas de présence d'un caractère interdit. Ca ne sert à rien de laisser entrer un visiteur qui va créer un compte et ne pas pouvoir s'identifier parceque Piwigo aura formaté son identifiant.

+1
Qu'un utilisateur choisisse un username contenant du code est malsain selon moi. Je serai pour une exclusion pure et simple.

Eric a écrit:

Qu'un utilisateur choisisse un username contenant du code est malsain selon moi. Je serai pour une exclusion pure et simple.

Effectivement, je n'avais pas vu ça de cette façon.

P@t a écrit:

Le bug est résolu: les balises html ne sont pas autorisées dans le username

Merci P@t :-)