/branches/spip-2.1/ecrire/auth/spip.php - SPIP - SPIP Core (Forge de développement)

Il faut que tu regardes le code (c’est celui de #SPIP). A priori on est au niveau -2.

@Fil Donc, mots de passe au régime sans sel ? Mauvais, en effet.

ah non vérification faite (▻http://core.spip.org/projects/spip/repository/entry/branches/spip-2.1/ecrire/auth/spip.php) c’est plus compliqué que ça :
1) le mot de passe est chiffré en SHA-256 avec une clé de hachage différente pour chaque utilisateur et qui change à chaque login
2) on a aussi un ’htpass’, SHA-256 avec un sel aléatoire, mais j’ai du mal à voir si cette valeur a encore la moindre utilité

donc -0.5 en gros... voir presque -0,1

=>[]

Je me rendais pas compte a quel point #SPIP était si vieux que ça... Le #code a vraiment l’air crade en tout cas :

$row = sql_fetsel("*", «spip_auteurs», «login=» . sql_quote($login) . «AND pass=» . sql_quote($md5pass) . «AND statut<>’5poubelle’»,’’,’’,’’,’’,$serveur);

la 1ere version officielle de SPIP est parue en juillet 2001

J’avais 3 ans !
Mais les développeurs ne pensent pas a le moderniser un petit peu ?

les développeurs sont vieux :)

@emersion : c’est quoi ton pb avec cette ligne ? tu l’a réécrirait comment ?

sql_fetsel(), sql_quote() c’est lourd. La fin est magnifique :

,’’,’’,’’,’’,$serveur) ;

On ne compte plus les arguments sur les doigts de la main (mettre $serveur en dernier est pas très malin d’ailleurs).
Et puis (oui bon je pousse un peu) je n’aime pas le mix anglais-francais ($row mais statut<>’5poubelle’).
Ce n’est pas de la POO, mais je comprends que des développeurs n’aiment pas ce concept et restent aux fonctions.
Je réécrirais un truc du genre (j’ai bien dit « du genre » !) :

$row = $server->query(’SELECT * FROM spip_authors WHERE login=:login AND password=:password’, array(’login’ => $login, ’password’ => $password));

Il y a encore sûrement plus lisible/mieux en général.
Le reste du peu de code que j’ai lu n’était pas très propre non plus.
Bon, je crois que je vais me faire des ennemis moi ! :-o

c’est parce que cela utilise l’api d’abstraction sql de spip ... qui est super puissante pour gérer plusieurs types de bdd.

▻http://programmer.spip.net/-API-SQL-

Des ennemis, non, car on en a entendu de toutes sortes et de toutes les couleurs depuis 14 ans ; comme quoi on programmait mal, qu’on n’était pas fiables, etc. Au final on est toujours là avec un produit qui est pas si « crade » qu’on le dit. Même s’il ne suit aucune des modes…

En termes de sécurité, puisque c’est le sujet de départ, on n’a pas eu d’alerte « grave » depuis longtemps, et le système de connexion, atypique, n’est pas si mauvais. Alors il y a certainement mieux à faire ici ou là, et tu es tout à fait bienvenu pour apporter des améliorations :)

@maieul : SQL est un langage, donc mon code marche sur toutes les base de données supportant SQL a priori. Bon, après il y a des différences d’implémentation, mais ce n’est pas un SELECT ou un FROM qui changera. Utiliser PDO revient au même. ;-)
@fil : oh, mais c’est normal pour un code de 14 ans de ne pas suivre les dernières « modes » (ou dernières « avancées »). Je suis plutôt impressionné par ce projet qui est toujours vivant depuis si longtemps. Je jetterais un coup d’œil pour voir si je peux aider a implémenter un truc ou deux. Mais je pense qu’il y a plus utile a faire que de moderniser le code. :-P

oui, en effet, et c’est d’ailleurs pour ça qu’il a l’air crade :)

dans les projets actuels, si tu as envie de participer, il y a l’idée de décentraliser seenthis ►http://seenthis.net/messages/216935