problèmes procédures stockées

[teamlulu]

Bonjour je suis bloqué au niveau de la sécurisation de la connexion à mon site, je souhaite utiliser des procédures stockées pour sécuriser mes variables pseudo et mdp pour éviter l'injection sql
j'ai fait un code qui est vulnérables aux injections et maintenant je cherche à le sécuriser .
voila mon code qui est vulnérables aux injections sql :
if(isset($_POST['envoi'])){
if(!empty($_POST['pseudo']) AND !empty($_POST['mdp'])){
$pseudo = $_POST['pseudo'];
$mdp = $_POST['mdp'];
$exec_recupUser = $bdd->query("SELECT count(*) FROM users
WHERE pseudo = '".$pseudo."' AND mdp = '".$mdp."' ");
$reponse = $exec_recupUser->fetchAll()[0];
$count = $reponse['count(*)'];
if($count!=0){
header('Location: post_connexion.php');
}else{
echo "votre mot de passe ou pseudo est incorrect";
}

}else{
echo"veuillez renseignez tous les champs...";
}
}

je voudrais créer une procédures stockée pour sécuriser mes 2 variables mais je n'y arrive pas du tout

 

[ABCWEB]

je voudrais créer une procédures stockée pour sécuriser mes 2 variables mais je n'y arrive pas du tout

J'utilise mysqli_real_escape_string pour les variables dans le WHERE

Il me semble que c'est @spout qui m'avait conseillé ça.

 

[teamlulu]

J'utilise mysqli_real_escape_string pour les variables dans le WHERE

Il me semble que c'est @spout qui m'avait conseillé ça.

Il faut que je crée ma procédure stockée sur ma base de donnée avec un trigger je crois

 

[emualliug]

Alors, pour l'injection à proprement parler, mysqli_real_escape_string peut convenir. Toutefois en PHP, les PDO sont recommandées (https://cheatsheetseries.owasp.org/cheatsheets/SQL_Injection_Prevention_Cheat_Sheet.html). Pour être honnête, je ne sais pas trop pourquoi mysqli_real_escape_string est considéré comme moins sûr que PDO, je suppose parce qu'il n'est pas systématique et qu'il faut donc le préciser pour chaque variable.

Ceci précisé, il faut revoir intégralement la procédure d'authentification : jamais de stockage en clair du mot de passe, pas de comparaison directe, etc. (https://cheatsheetseries.owasp.org/cheatsheets/Password_Storage_Cheat_Sheet.html). password_hash et password_verify sont prêtes à l'emploi en PHP, il faut les utiliser.

De grâce, s'abstenir des scripts "maisons" dès qu'il s'agit de sécurité.

 

[teamlulu]

Alors, pour l'injection à proprement parler, mysqli_real_escape_string peut convenir. Toutefois en PHP, les PDO sont recommandées (https://cheatsheetseries.owasp.org/cheatsheets/SQL_Injection_Prevention_Cheat_Sheet.html). Pour être honnête, je ne sais pas trop pourquoi mysqli_real_escape_string est considéré comme moins sûr que PDO, je suppose parce qu'il n'est pas systématique et qu'il faut donc le préciser pour chaque variable.

Ceci précisé, il faut revoir intégralement la procédure d'authentification : jamais de stockage en clair du mot de passe, pas de comparaison directe, etc. (https://cheatsheetseries.owasp.org/cheatsheets/Password_Storage_Cheat_Sheet.html). password_hash et password_verify sont prêtes à l'emploi en PHP, il faut les utiliser.

De grâce, s'abstenir des scripts "maisons" dès qu'il s'agit de sécurité.

je dois presenter un site vulnérable aux injections SQL puis le protéger grâce aux procédures stockées, malheuresement les liens que vous m'avez envoyez ne m'aident pas beaucoup car ils ne présentent pas de code sql pour les procédures stockées

 

[colonies]

Bonjour je suis bloqué au niveau de la sécurisation de la connexion à mon site, je souhaite utiliser des procédures stockées pour sécuriser mes variables pseudo et mdp pour éviter l'injection sql

Je crois que tu confonds procédures stockées et "requêtes préparées".
https://www.ionos.fr/digitalguide/sites-internet/developpement-web/prepared-statements-phpmysql/
Mais surtout, suis le conseil de emualliug : ON NE STOCKE PAS LES MOTS DE PASSE EN CLAIR.

 

[emualliug]

je dois presenter un site vulnérable aux injections SQL puis le protéger grâce aux procédures stockées

Est-ce un exercice ?

Si c'est le cas ça excuse (un peu) les autres défauts du code et explique pourquoi il faudrait passer sur une procédure stockée ce qui n'est pas le moyen le plus commode pour se prémunir d'une injection (raison pour laquelle les docs que j'ai liés n'y font pas référence, ce n'est pas un moyen recommandé pour cet objectif).