From 084cdf0c67e05c63581d2ba211adc3e5d19635de Mon Sep 17 00:00:00 2001 From: polo Date: Thu, 27 May 2021 22:53:52 +0200 Subject: crud Signed-off-by: polo --- index.php | 2 +- 1 file changed, 1 insertion(+), 1 deletion(-) (limited to 'index.php') diff --git a/index.php b/index.php index 81d5faf..2d3bcd6 100644 --- a/index.php +++ b/index.php @@ -51,7 +51,7 @@ installation(); // à propos des sessions, penser aux attaques CSRF (cross-site request forgery): // ça consite à faire qu'un utilisateur connecté avec une session envoie malgré lui une requête GET ou POST qu'un hacker aura cachée par exemple dans une fausse image clicable -// - solutionq: faire qu'un GET seul dans une session ne suffise pas à effectuer une action (les GET ne doivent servir qu'à afficher la bonne page), une attaque sur un POST nécessite d'injecter du javascript +// - solution: faire qu'un GET seul dans une session ne suffise pas à effectuer une action (les GET ne doivent servir qu'à afficher la bonne page), une attaque sur un POST nécessite d'injecter du javascript // - on peut demander à l'utilisateur une vérification supplémentaire avant chaque action, mais c'est plutôt chiant // - la méthode des jetons, "nonces" et horodatage // - vérifier le "référent", c'est à dire l'URL de la page d'où vient normallement la requête -- cgit v1.2.3