Crypter mot de passe dans URL

[Khleo]

Je m'occupe d'un site de création de classes virtuelles.

Chaque classe possède ses propres actualités, et je voudrais proposer un flux pour chaque des classes avec le mot de passe du membre crypté dans l'URL du RSS.

Mes flux sont en PHP.

Est-ce possible ?

Merci

[yuston]

Tout à fait possible. Il faut que les mots de passes stockées dans la base de données soient également cryptés de la même manière. Il est usuel d'utiliser un cryptage md5 et PHP propose cette fonction!

md5('1mdp');

Donc après, il suffit de transmettre via GET le mot de passe déjà crypté et de faire une comparaison avec celui de la base. Par contre, niveau sécurité, via l'URL, ce n'est pas vraiment la meilleure solution.

[Jeanluc]

Par contre, niveau sécurité, via l'URL, ce n'est pas vraiment la meilleure solution.

Ce n'est pas sûr du tout :

- L'URL en question va se retrouver dans l'historique du navigateur.

- Et si la page contient un lien vers une page externe XYZ et qu'on clique ce lien, l'URL de la page avec le mot de passe crypté, va se retrouver dans les referrers de la page XYZ.

Jean-Luc

[Kioob]

De plus md5() est fortement déconseillée puisqu'il existe depuis longtemps des bases de données (et même des sites en ligne) pour obtenir facilement une correspondance (basée sur un dictionnaire... ou pas). On lui préfère généralement crypt() qui ajoute un "grain de sel" et limite fortement ce genre de choses ; il n'empêche que ça ne me semble pas super adapté à ce que tu veux faire.

Sinon phpMyAdmin utilise des mots de passe en cookies encryptés (et non hachés) à coup de mcrypt().

[Leonick]

Chaque classe possède ses propres actualités, et je voudrais proposer un flux pour chaque des classes avec le mot de passe du membre crypté dans l'URL du RSS.

pour quelle raison veux-tu mettre ainsi le mot de passe dans le flux ?

Moi je ferais carrément l'inverse, c'est que le flux serait à accès avec password et comme ça ils ne récupéreraient que ce à quoi ils ont le droit d'accès

[Khleo]

Re,

Je voudrais éviter que l'on puisse modifier l'identifiant dans l'url et avoir accès aux infos du groupe.

Sinon je vais créer une petite clé de 5 caractéres aléatoire pour chaque classe.

Merci