glopglop/spip
Par Glop, le 8 novembre 2024 à 22h14min :
fix: tenter de rejouer la session tant que le changement d’IP n’est pas résolu
Une fois qu’on a observé un changement d’IP de la session, la constante
_SESSION_REJOUER doit être mise à vrai tant que le cookie de session
n’a pas été renouvelé. Sans cela, en cas de vol de cookie,
l’utilisateurice légitime n’aura jamais la possibilité de déclencher
de renouvellement de son cookie, et l’usurpateurice de cookie ne sera
jamais déconnecté·e.
Pour que cela fonctionne, il faut aussi que l’application de
_SESSION_REJOUER soit immédiate et non soumise aux aléas du cache.
Il faut donc que prive#15 soit aussi résolue afin que l’appel à
html_tests_js() (dans prive/squelettes/inclure/pied.html) ne soit
pas caché.
Aussi, on passe l’<img> qui déclenche le rejeu de session en
display: none, car sinon elle provoque un bug d’affichage dans
certains navigateurs (Firefox en particulier).
fix: #6033
Modifié
ecrire/inc/session.php