mot de passe

1 files changed, 201 insertions, 0 deletions

diff --git a/index.php b/index.php
new file mode 100644
index 0000000..72791fd
--- /dev/null
+++ b/index.php
@@ -0,0 +1,201 @@
+<?php
+// index.php
+//
+// routeur MVC ou controlleur principal
+// il récupère les GET, inclut les contrôleurs et appelle des fonctions
+// ce site utilise une architecture Modèle-Vue-Contrôleur (MVC)
+// le schéma ci-dessous représente le sens dans lequel le code est interprété
+//
+//                modèle
+//                  ^ |
+//                  | v
+//  routeur --> contrôleur
+//                   |
+//                   v
+//                  vue ---> envoi de la page au client
+//
+// pour retrouver quelque chose dans le code, il suffit de suivre un chemin linéaire dont le départ est ici
+// pas de croisement, pas de marche arrière, impossible de se perdre!
+//
+// à la racine de l'arbre des fichiers nous avons:
+// - 1 fichier index.php sur lequel se greffe tout le reste
+// - 4 dossiers pricipaux: controller - model - view - public
+// un avantage est que les chemins sont tous relatifs, partent tous de la racine du site et sont toujours bons
+
+// Les dossiers:
+// -> contrôleurs: traitements en PHP pur
+// -> modèles: interface entre PHP et données, on y trouve le SQL ou la manipulation de fichiers textes, le PHP y est générlement orienté objet
+// -> vues: le PHP y produit le HTML, il construit les pages,
+// le mélange PHP/HTML étant très vite assez dégueulasse, le HTML figé à placé à part dans le fichier view/template.php
+// -> le dossier public contient CSS, JS, images, polices, medias, etc, il est utilisé par le template
+// -> le dossier lib contient les bibliothèques, il contient notamment le ckeditor qui occupe une place centrale dans le projet, on y trouve aussi la bibli htmLawed qui protège des données dangereuses (failles XSS)
+// -> le dossier data qui est techniquement séparé du site
+//
+// pour le reste nous avons:
+// - le fichier imageAJAX.php traitant les requêtes AJAX
+// ce fichier est appelé sans index.php et est pour cette raison un peu spécial
+// - 1 fichier .htaccess pour la sécurité (configurer le httpd.conf peut être nécessaire)
+// - 1 fichier erreur404.php (fonctionne avec .htaccess)
+// - des bibliothèques externes dans lib:
+// ckeditor5, ckfinder, htmlawed et HtmlFormatter
+//
+// le dossier data et son contenu sont "normalement" autorisés en écriture pour deux raisons:
+// - placer le contenu pré-existant avec son client FTP
+// - autoriser PHP (sinon, c'est comme si on avait un site statique)
+//
+// pour pouvoir installer le site en n'ayant qu'à modifier les droits du dossier data uniquement et éviter les situations pénibles ou l'utilisateur est bloqué sans rien comprendre, on pourra créer ou utiliser des sauvegardes au format ZIP depuis une page spéciale accessible avec le compte admin
+
+// au premier démarrage du site
+require('controller/installation.php');
+installation();
+
+// à propos des sessions, penser aux attaques CSRF (cross-site request forgery):
+// ça consite à faire qu'un utilisateur connecté avec une session envoie malgré lui une requête GET ou POST qu'un hacker aura cachée par exemple dans une fausse image clicable
+// - solutionq: faire qu'un GET seul dans une session ne suffise pas à effectuer une action (les GET ne doivent servir qu'à afficher la bonne page), une attaque sur un POST nécessite d'injecter du javascript
+// - on peut demander à l'utilisateur une vérification supplémentaire avant chaque action, mais c'est plutôt chiant
+// - la méthode des jetons, "nonces" et horodatage
+// - vérifier le "référent", c'est à dire l'URL de la page d'où vient normallement la requête
+// infos: https://fr.wikipedia.org/wiki/Cross-site_request_forgery
+session_start();
+
+// sécurité failles XSS
+require('lib/htmlawed/htmLawed.php');
+
+// traitement des POST du ckeditor
+// NOTER que le fichier "habituel" controller/admin.php n'est pas utilisé
+// la fonction submitCKeditor n'affiche rien puis redirige sans GET
+if(isset($_SESSION['admin']) && $_SESSION['admin'] == 1
+    && isset($_GET['action']) && $_GET['action'] == 'submit'
+    && isset($_POST['contenu']))
+{
+    require('controller/ckeditor.php');
+    submitCKeditor($_GET['page'], $_GET['article'], $_POST['contenu']);
+
+    // nettoyage (je ne sais pas si ça sert à quelque chose, mais c'est pas grave)
+    unlink($_GET['action']);
+    unlink($_POST['contenu']);
+
+    // rechargement "nettoyage" à la fin du traitement
+    header('Location: index.php?page=' . $_GET['page']);
+}
+
+// déconnexion: nettoyer et recharger la page
+if(isset($_GET['action']))
+{
+    if($_GET['action'] == "deconnexion")
+    {
+        $_SESSION['admin'] = 0;
+        header('Location: index.php');
+    }
+}
+
+// le site comporte deux modes:
+// le mode normal en "lecture seule" utilisant le contrôleur visitor.php
+// le mode admin avec droits en "écriture" utilisant le contrôleur admin.php
+
+// appelé tout le temps parce que certaines pages (accueil, menu) n'ont pas de version "admin"
+// une optimisation serait bienvenue
+require('controller/visitor.php');
+
+if(isset($_SESSION['admin']) && $_SESSION['admin'] == 1)
+{
+    require('controller/admin.php');
+}
+else
+{
+    // initialisation
+    $_SESSION['admin'] = 0;
+}
+
+// mot de passe de connexion à protéger par le .htaccess !!
+$secret = "julian";
+
+// page du site demandée
+if(isset($_GET['page']))
+{
+    // page menu
+    if($_GET['page'] == 'menu')
+    {
+        menu();
+    }
+
+    // page melaine
+    elseif($_GET['page'] == 'melaine')
+    {
+        // ouverture de l'éditeur
+        if($_SESSION['admin'] == 1 && isset($_GET['action']) && $_GET['action'] == 'editor')
+        {
+            // modification
+            if(isset($_GET['article']) && is_numeric($_GET['article']) && $_GET['article'] > 0)
+            {
+                melaineAdmin($_GET['article']);
+            }
+            // nouvel article
+            else
+            {
+                melaineAdmin(0);
+            }
+        }
+        else
+        {
+            melaineVisitor();
+        }
+    }
+    // page connexion au mode admin
+    elseif($_GET['page'] == 'connexion')
+    {
+        connexion($secret);
+    }
+    // $_GET['page'] = n'importe quoi!
+    else
+    {
+        menu();
+    }
+}
+
+// actions en mode admin recharger une des pages principales
+elseif($_SESSION['admin'] == 1 && isset($_GET['action']))
+{
+    if($_GET['action'] == 'nouveau_mdp')
+    {
+        changerMotDePasse($secret, $_GET['from']);
+    }
+    // extraction du contenu du dossier data
+    else if($_GET['action'] == 'extraction')
+    {
+        require('controller/backup.php');
+        extraction($_GET['from']);
+    }
+    // l'inverse, insertion des données d'une sauvegarde
+    else if($_GET['action'] == 'insertion')
+    {
+        require('controller/backup.php');
+        insertion($_GET['from']);
+    }
+    else
+    {
+        accueil();
+    }
+}
+
+// renvoi ici par le .htaccess si lien mort ou sans http:// au début
+elseif(isset($_GET['erreur']))
+{
+    //if($_GET['erreur'] == 404)
+    //{
+    //    echo('<p style="color: red;" >ERREUR 404<br/>Le lien sur lequel vous avez cliqué pointe vers un emplacement introuvable.<br />
+    //      Ce n\'est pas votre faute. Vous pouvez éventuellement rechercher la page demandée avec votre moteur de recherche ou prévenir le responsable du site.</p>');
+    //    echo('<p><a href="index.php" >Retour au site</a></p>');
+    //}
+    //else
+    //{
+        accueil();
+        // accueil_404(); // à créer
+    //}
+}
+
+// page d'accueil (adresse sans GET valable)
+else
+{
+    accueil();
+}