audit claude code 1, validation formulaire toujours ok, échappement dans URL, quelques htmlspecialchars manquants, fonction Security::validateURLpolo1

4 files changed, 17 insertions, 24 deletions

diff --git a/src/Service/FormValidation.php b/src/Service/FormValidation.php
index d91aa12..9f4564f 100644
--- a/src/Service/FormValidation.php
+++ b/src/Service/FormValidation.php
@@ -46,7 +46,7 @@ class FormValidation
         public function validate(): bool
         {
                 $this->error = ($this->callStrategy)(); // appel de la callback
-                return empty($this->errors);
+                return $this->error === null;
         }
 
         public function getError(): string
diff --git a/src/Service/Router.php b/src/Service/Router.php
index 98cecc5..3055099 100644
--- a/src/Service/Router.php
+++ b/src/Service/Router.php
@@ -347,11 +347,11 @@ class Router{
                     /* -- page Menu et chemins -- */
                     // création d'une entrée de menu avec une URL
                     elseif($this->request->request->has("label_input") && $this->request->request->has("url_input") && $this->request->request->has("location")){
-                        return MenuAndPathsController::newUrlMenuEntry($this->entityManager);
+                        return MenuAndPathsController::newUrlMenuEntry($this->entityManager, $this->request);
                     }
                     // suppression d'une entrée de menu avec une URL
                     elseif($this->request->request->has('delete') && $this->request->request->has('x') && $this->request->request->has('y')){ // 2 params x et y sont là parce qu'on a cliqué sur une image
-                        return MenuAndPathsController::deleteUrlMenuEntry($this->entityManager);
+                        return MenuAndPathsController::deleteUrlMenuEntry($this->entityManager, $this->request);
                     }
 
 
diff --git a/src/Service/Security.php b/src/Service/Security.php
index 0fbd8b7..bb04535 100644
--- a/src/Service/Security.php
+++ b/src/Service/Security.php
@@ -27,6 +27,12 @@ class Security
             return trim(htmLawed($chaine, self::$configHtmLawed, self::$specHtmLawed));
         }
 
+        public static function validateURL(string $link): bool
+        {
+            return filter_var($link, FILTER_VALIDATE_URL) !== false // c'est une URL?
+        && in_array(strtolower(parse_url($link, PHP_URL_SCHEME) ?? ''), ['http', 'https'], true); // PHP_URL_SCHEME pour récupérer le protocole
+        }
+
         public static function secureFileName(string $chaine): string
         {
                 // sécuriser un nom avec chemin avec basename?
@@ -83,7 +89,7 @@ class Security
 }
 
 // lien sans http://
-function fixLinks($data)
+function fixLinks(string $data): string
 {
     // 1/
     // si une adresse est de type "domaine.fr" sans le http:// devant, le comportement des navigateurs est de rechercher un fichier comme si mon adresse commençait par file://
diff --git a/src/Service/URL.php b/src/Service/URL.php
index 035f572..e6f986c 100644
--- a/src/Service/URL.php
+++ b/src/Service/URL.php
@@ -58,33 +58,20 @@ class URL implements \Stringable
         public function setAnchor(string $anchor = ''): void
         {
                 if($anchor != ''){
-                        $this->anchor = '#' . ltrim($anchor, '#');
+                        $this->anchor = '#' . rawurlencode(ltrim($anchor, '#'));// rawurlencode échappe les mêmes caractères
                 }
                 else{
                         $this->anchor = '';
                 }
         }
 
-        private function makeParams(): string
-        {
-                $output = '';
-                $first = true;
-                
-                foreach($this->params as $key => $value) {
-                        if($first){
-                                $output .= '?';
-                                $first = false;
-                        }
-                        else{
-                                $output .= '&';
-                        }
-                        $output .= $key . '=' . $value;
-                }
-                return $output;
-        }
-
         public function __toString(): string
         {
-                return self::$protocol . self::$host . self::$port . self::$path . $this->makeParams() . $this->anchor;
+                return self::$protocol . self::$host . self::$port . self::$path
+                        . ($this->params ? '?' . http_build_query($this->params) : '')
+                        . $this->anchor;
+                // http_build_query change un tableau comme ['key1' => 'value 1', 'key2' => 'value 2']
+                // en chaine: key1=value+1&key2=value+2
+                // les caractères ", ', <, >, &, #, = et espaces sont échappés (comme avec rawurlencode pour les ancres)
         }
 }
\ No newline at end of file