protection des squelettes

Bonjour à tous,

Tout nouvel utilisateur spip, avec un ami, nous avons réalisé au cours
de l'été un site sous SPIP qui apparaissait comme le plus à-même de
répondre à nos besoins, ainsi nous avons pas mal exploré ces capacités :

Je me permets de lister les limitations qui nous sont apparues très gênante

- la gestion des niveaux d'accès pour les utilisateurs, redacteur, admin
restreint et admin reste un peu limité

- la possibilité de consulter aisément le code source des squelettes,
ceci est fortement désagréable lorsqu'on inclus du php : c'est un peu
aberrant côté sécurité.
Pour contourner ce problème, on a tenté de faire des require ou include,
mais ces fonctions php ne fonctionne pas dans le squelette html

Je serai intéressé d'avoir votre avis la-dessus et si vous voyez une solution comment remédier à ce problème

Antoine Le Carpentier

Antoine Le Carpentier a écrit :

Bonjour à tous,

Tout nouvel utilisateur spip, avec un ami, nous avons réalisé au cours
de l'été un site sous SPIP qui apparaissait comme le plus à-même de
répondre à nos besoins, ainsi nous avons pas mal exploré ces capacités :

On ne dirait pas.

Je me permets de lister les limitations qui nous sont apparues très gênante

- la gestion des niveaux d'accès pour les utilisateurs, redacteur, admin
restreint et admin reste un peu limité

Oui, il faut passer par le statut de visiteurs et gérer sois-même les droits.
C'est assez lourd.
Il existe un pluggin pour ça, à tester.

- la possibilité de consulter aisément le code source des squelettes,
ceci est fortement désagréable lorsqu'on inclus du php : c'est un peu
aberrant côté sécurité.

Il vous suffit de protéger votre dossier de squelettes.
C'est vous qui me semblez "aberrants".

Pour contourner ce problème, on a tenté de faire des require ou include,
mais ces fonctions php ne fonctionne pas dans le squelette html

Ca n'aurait rien changé au problème, il faut lire la doc pour les includes en Spip.

Je serai intéressé d'avoir votre avis la-dessus et si vous voyez une
solution comment remédier à ce problème

Antoine Le Carpentier

A bientôt
Grégoire

Antoine Le Carpentier a écrit :

Bonjour à tous,

Tout nouvel utilisateur spip, avec un ami, nous avons réalisé au cours
de l'été un site sous SPIP qui apparaissait comme le plus à-même de
répondre à nos besoins, ainsi nous avons pas mal exploré ces capacités :

Je me permets de lister les limitations qui nous sont apparues très gênante

- la gestion des niveaux d'accès pour les utilisateurs, redacteur, admin
restreint et admin reste un peu limité

Si tu veux un vrai workflow, passes ton chemin pour l'instant ou contente toi du plugin acces resteint de la version 1.9.
http://zone.spip.org/trac/spip-zone/wiki/AccesRestreint

- la possibilité de consulter aisément le code source des squelettes,
ceci est fortement désagréable lorsqu'on inclus du php : c'est un peu
aberrant côté sécurité.

Il suffit de ne pas déposer les squelettes dans un répertoire squelettes ... mais dans un répertoire dont tu choisiras soigneusement le nom ... cf configuration du fichier mes_options.php

Pour contourner ce problème, on a tenté de faire des require ou include,
mais ces fonctions php ne fonctionne pas dans le squelette html

oula, SPIP, PHP et Javascript sont dans un bateau - SPIP-Contrib

jsb

Antoine Le Carpentier <a.lecarpentier.ml@gmail.com> a écrit :

Bonjour à tous,

Tout nouvel utilisateur spip, avec un ami, nous avons réalisé au cours
de l'été un site sous SPIP qui apparaissait comme le plus à-même de
répondre à nos besoins, ainsi nous avons pas mal exploré ces capacités :

Bienvenue à toi!

Je me permets de lister les limitations qui nous sont apparues très gênante

- la gestion des niveaux d'accès pour les utilisateurs, redacteur, admin
restreint et admin reste un peu limité.

On peut faire bien de choses avec SPIP si on met la main à la pâte.
Avec les plugins, bien de choses sont en chantier et seront bientôt disponibles
  sur le sujet.

Pour te donner une idée des choses possibles, j'utilise sur certains sites
(1.8.3) un système de gestion de groupes, de niveaux d'accès avec profil
d'auteur, avec des dates d'activation et de désactivation des droits sur
plusieurs niveaux. Voici un lien d'explication théorique sur son
fonctionnement: http://aide.iago.ca/article.php3?id_article=337

Je vais probablement l'adapter en plugin. Mais il y en a d'autre en
construction ou en expérimentation qui combine déjà plusieurs de ses
élément...

- la possibilité de consulter aisément le code source des squelettes,
ceci est fortement désagréable lorsqu'on inclus du php : c'est un peu
aberrant côté sécurité.
Pour contourner ce problème, on a tenté de faire des require ou include,
mais ces fonctions php ne fonctionne pas dans le squelette html.

Pas obligatoirement. Il y a bien des façons de rendre le code assez peu
accessible.

Je serai intéressé d'avoir votre avis la-dessus et si vous voyez une
solution comment remédier à ce problème

Antoine Le Carpentier

Quelle sorte de site as-tu fais? Pour quelle besoin?

Iago

Antoine Le Carpentier a écrit :

Bonjour à tous,

Tout nouvel utilisateur spip, avec un ami, nous avons réalisé au cours
de l'été un site sous SPIP qui apparaissait comme le plus à-même de
répondre à nos besoins, ainsi nous avons pas mal exploré ces capacités :

Je me permets de lister les limitations qui nous sont apparues très gênante

- la gestion des niveaux d'accès pour les utilisateurs, redacteur, admin
restreint et admin reste un peu limité

- la possibilité de consulter aisément le code source des squelettes,
ceci est fortement désagréable lorsqu'on inclus du php : c'est un peu
aberrant côté sécurité.
Pour contourner ce problème, on a tenté de faire des require ou include,
mais ces fonctions php ne fonctionne pas dans le squelette html

Je serai intéressé d'avoir votre avis la-dessus et si vous voyez une solution comment remédier à ce problème

Antoine Le Carpentier

A priori, tu inclus pas du php dans un squelette spip.

Et puis, au pire, tu met un .htaccess adequat (regarde sur spip-contrib, ils y a un tuto sur els .htaccess)

--
Maïeul
http://maieul.ouvaton.org

Antoine Le Carpentier a écrit :

Bonjour à tous,
[...]
- la possibilité de consulter aisément le code source des squelettes,
ceci est fortement désagréable lorsqu'on inclus du php : c'est un peu
aberrant côté sécurité.

Bonsoir

Essaye de répondre aussi à la liste.

Dans mon .htaccess, j'ai simplement écrit "deny from all"

Et, je serai très surpris si tu arrivais à afficher le code de :
http://katayoun.galerie-blog.com/squelettes/sommaire.html

Pourtant http://katayoun.galerie-blog.com fonctionne bien.

Peut-être un truc à voir auprès de ton hébergeur.

Pour contourner ce problème, on a tenté de faire des require ou include,
mais ces fonctions php ne fonctionne pas dans le squelette html

les INCLUDE de Spip sont destinés à inclure des morceaux de squelettes.

Je serai intéressé d'avoir votre avis la-dessus et si vous voyez une
solution comment remédier à ce problème

Antoine Le Carpentier

A bientôt
Grégoire