Bonjour jeunes gens

bon en fait je vais intégrer un système de mot de passe à un logiciel, donc mon programme va demander un code ($code) et va faire une requete

http://url.com/verif.php?code=$code

donc la j'ai un problème avec mon code php...

<?
$code=$_GET['code'];
if ($code="pass1"||$code="pass2") {
echo 'OK'; // donc la le programme voit OK donc il va autoriser le lancement du prog
//log ip etc pour virer les partages de codes
}
else { echo 'KO'; }

?>

Et en fait ça marche pas

ça fait toujours KO

help me merci!

"?code=$code" j'espère que tu sais que le mot de passe va circuler en clair sur internet si tu fais ça ?

Ouais pas sur mais bon pour un petit progrmme... Prive

sinon j'aurai juste qua mettre les md5 ça foutra un peu plus de securite.

<?php

if(isset($_GET['code'])) {
if(in_array($_GET['code'], array('code1', 'code2'))) {
// ok
} else {
// pas ok
}
} else {
// pas ok
}

http://wall.deblan.fr/x629/php/1/

• sinon j'aurai juste qua mettre les md5 ça foutra un peu plus de securite. * mouai, faudra faire un peu plus qu'un simple md5 du password.

""?code=$code" j'espère que tu sais que le mot de passe va circuler en clair sur internet si tu fais ça ? "

Chris, pourquoi ? le php est exécuté coté serveur non ? donc que le mdp soit stocké dans la source php (ce qui n'est certainement pas une bonne pratique) ou dans un bdd ou un fichier externe, il faut dans tout les cas que le serveur soit bien configuré pour qu'on ne puisse pas y accéder, mais il n'y a pas sensiblement de différence. Ou alors je rate un truc ?

C'est le passage du coté client vers le serveur qui pose problème.
Utilisé un GET amène un soucis en plus d'un POST : c'est une url qui peut être gardée en mémoire sur le post client.
Ici, quand on se log, le pwd passe en clair. Il n'y a pas d'autre solution que sécuriser la connexion entre le serveur et le client (avec une couche ssl par exemple).

mais un envoie de mot de passe en clair sur le réseau devrait toujours passer par une couche SSL de toutes manières (et là, je pense que par défaut les navigateur ne garde pas la mémoire de ce type d'url), car en POST ou en GET, il y a exactement la même visibilité du mdp du point de vue de l'extérieur.

Comment un navigateur peut deviner qu'il passe un pwd dans l'url, ou l'id d'un topic pour un forum ? Il ne peut pas.

• mais un envoie de mot de passe en clair sur le réseau devrait toujours passer par une couche SSL* sauf que c'est loin d'être toujours possible, surtout sur des hosts mutualisé. Et même quand c'est du dédie, ce n'est quasiment pas le cas (jvc pour l'exemple encore une fois).

"Comment un navigateur peut deviner qu'il passe un pwd dans l'url, ou l'id d'un topic pour un forum ? Il ne peut pas. "

Bon, il pourrait, car si ce mdp vient d'une form dans la page html précédente qui déclenche un appel de page avec GET, alors le mdp a certainement été inscrit dans un contrôle de type "password". Un navigateur malin pourrait utiliser ce fait pour ne pas mettre un cache le nom de la page.

Tu surestimes les navigateurs web là dnob.

absolument, mais je suis un théoricien.

disons que si c'est pour répondre "ok" et "ko". Hum, proxy?

Je vous explique :
Le programme est protégé par des mots de passes, (stocker dans une BDD TXT externe)

Le programme lors de son lancement demande un code à l'user, l'user tape le code,
Le programme récupère la requête de verif.php?code=$code (bon on peut mettre du md5 avant mais bon ça changera rien)
si OK il continue son lancement
si KO il va afficher un message d'erreur & fermeture
SI erreur (de connexion ou autre) message d'erreur & fermeture

et toutes les 5 mins le programme va lancer une requete avec le code pour connaitre l'état du code (comme ça si je ban quelqu'un, dans les 5 minutes il ne pourra plus utiliser mon programme )

Ce programme est fait en quoi?

C++

Bon, crée un certificat bidon pour ton serveur puis utilise un socket ssl style celui fourni dans qt. Ca te permet de sécuriser l'échange et d'empêcher qu'on déjoue ton truc en 3 secondes avec un proxy qui répond toujours ok.

ok merci du conseil j'y avais pas pensé qu'on pouvait modifier les hosts