Dans la fonction ``render()`` de votre module, vous pourrez substituer les marqueurs par les données à afficher que vous aurrez préalablement préparées dans la fonction ``prepareData()`` : .. code-block:: php :emphasize-lines: 14,15 function render(&$mainTemplate){ global $mf,l10n; if($mf->mode == 'backend'){ if(isset($_REQUEST['module']) && ($this->moduleKey == $_REQUEST['module'])){ // on charge le gabarit HTML du module $moduleBody = file_get_contents(DOC_ROOT. SUB_DIR.$config['website_pluginsdir']. '/my_plugin/ressources/templates/module.html'); // on substitue nos marqueurs dans le gabarit HTML qu'on a chargé $moduleBody = str_replace("{module-body}",$this->pageOutput,$moduleBody); $moduleBody = str_replace("{local-menu}",$this->localMenu,$moduleBody); // Enfin on insère le corps de notre module dans l'objet $mainTemplate // mis à disposition par MindFlow en argument de la fonction render() $mainTemplate = str_replace("{current_module}",$moduleBody,$mainTemplate); } } } | | | En frontend ^^^^^^^^^^^ En frontend, la stratégie sera peu différente. On insèrera tout d'abord un marqueur unique à notre plugin dans le gabarit d'une page du site : .. code-block:: html :emphasize-lines: 3

Consultez la liste des contacts :

{my-plugin}

Puis il nous suffira ensuite de le remplacer le code produit par notre plugin : .. code-block:: php :emphasize-lines: 13 function render(&$mainTemplate){ global $mf,$l10n; if($mf->mode == 'backend'){ //... } else if($mf->mode == 'frontend'){ $mainTemplate = str_replace("{my-plugin}",$this->pageOutput,$mainTemplate); } } | | | La fonction showRecordEditTable() --------------------------------- Vous vous êtes peut-être demandé comment générer ce genre de vue dans votre module : .. image:: images/showRecordEditTable.png La fonction ``showRecordEditTable()`` héritée de la classe dbRecord permet de générer facilement ce type de vue pour tous les types d'enregistrements. Voici son profil : .. code-block:: php function showRecordEditTable( $request, // requête SQL de sélection des enregistrements affichés dans le recordEditTable $moduleName, // module $subModuleName, // sous-module $mainKey, // colonne dont le titre clicable $keyProcessors = array(), //functions pour prétraiter l'affichage des valeurs de certaines colonnes $page = NULL, // page actuellement affichée si la sélection s'étend sur plusieurs pages $availableActions = array( 'create'=>1, // affiche un bouton de création de nouvel enregistrement au dessus du tableau recordEditTable 'view'=>0, // affiche une icône de visualisation de l'enregistrement sur chaque ligne 'edit'=>1, // affiche une icône d'édition de l'enregistrement sur chaque ligne 'delete'=>1, // affiche une icône de suppression de l'enregistrement sur chaque ligne 'clone'=>1 // affiche une icône de duplication de l'enregistrement sur chaque ligne ), $advancedOptions=array( 'ajaxActions' => 1, // Prise en charge des actions 100% AJAX (actif par défaut) 'showPrint' => true, // affiche un bouton pour imprimer la sélection affichée 'showResultsCount' => true //affiche le nombre de résultats de la sélection en cours ) ){} Retrouvez une documentation complète de l'ensemble de ses paramètres dans la documentation phpDoc de la classe dbRecord. Voici un exemple d'utilisation dans notre plugin d'exemple my_plugin : .. code-block:: php //on crée une instance de notre enregistrement $contact = new myContact(); //Insertion d'un bouton personnalisé pour réaliser un export CSV $buttons = ''; //génération du code HTML du showRecordEditTable au moyen de la fonction return $contact->showRecordEditTable( array( //requête SQL de sélection des enregistrements à afficher 'SELECT' => 'creation_date,name, email,deleted', 'FROM' => '', 'JOIN' => '', 'WHERE' => '1=1'.$dateConditions.$sqlConditions.$deletedCondition, 'ORDER BY' => 'name', 'ORDER DIRECTION' => 'ASC', ), //clé du module 'my_plugin', //clé du sous module s'il y a lieu '', //champ principal (celui-ci sera cliquable) 'name', //fonction de pré-traitement pour certains champs avant affichage $keyProcessors = array( 'creation_date' => 'dbRecord::formatDate', 'deleted' => 'dbRecord::getDeletedName', ), //index de pagination à afficher $page = NULL, //actions activées array( 'create' => 1, 'view' => 1, 'edit' => 1, 'delete'=> 1 ), //options avancées array( //Indique si les enregistrement doivent être ouverts en popup AJAX ou dans leur propre page 'ajaxActions' => true, //ici on ajoute le code de notre bouton personnalisé "Export CSV" 'buttons' => $buttons, //classes associées aux colonnes, utiles notamment pour les tableaux responsive 'columnClasses' => array( 'creation_date' => 'hidden-xs', 'email' => 'hidden-xs hidden-sm', 'deleted' => 'hidden-xs hidden-sm', ), //afficher les requêtes SQL générées 'debugSQL' => 0, //boutons disponibles pour la validation du formulaire d'édition d'un enregistrement ouvert à partir du recordEditTable 'editRecordButtons' => array( 'showSaveButton' => true, 'showSaveCloseButton' => true, 'showPreviewButton' => false, 'showCloseButton' => true ) ), 'contact' // spécifiez un recordEditTableID si vous ne voulez pas qu'il soit spécifié de manière aléatoire. // Ceci vous permet d'acceder au div au moyen de #recordEditTable_contact plutôt que #recordEditTable_78546642 (nombre aléatoire) // MindFlow nécessite un ID unique pour chaque recordEditTable au cas ou plusieurs seraient affichés simultanément dans la page ); Appels sécurisés ================ Un problème de sécurité courant est le détournement de formulaires par des personnes mal intentionnées. Par exemple nous avons un formulaire d'édition de profil utilisateur sur notre site. **Celui-ci fait figurer l'action à réaliser sur l'objet en cours d'édition, le nom de sa classe et son uid.** En effet, le script ajax-core-json.php a besoin de ces 2 informations pour identifier l'enregistrement qu'il va devoir mettre à jour : .. code-block:: php :emphasize-lines: 5,6,7 Il serait alors simple pour un hacker d'altérer la valeur du champ uid ou de substituer un autre nom de classe de manière à pouvoir éditer les profils d'autres utilisateurs, ou d'autres objets du CMS comme la table des utilisateurs backend. Ce problème de sécurité est également susceptible d'affecter vos plugins. **Pour prévenir ce type de hack, nous devons pouvoir contrôler que certains champs n'ont pas été altérés.** Pas tous évidemment, puisque l'essence d'un formulaire est de recueillir des données de la part de l'utilisateur, données qui sont par essence variables et imprévisibles. En revanche pour les autres champs qui sont générés par le plugin, on doit pouvoir vérifier leur absence de modification. **La solution consiste à générer un Hash basé sur la valeur de ces champs.** Nous allons donc définir un tableau dans lequel nous allons indiquer les clés des champs concernés ainsi que leurs valeurs : Nouvelle méthode ---------------- Depuis Mindflow 1.8, la génération des hashs a été simplifiée. Voici son fonctionnement. Tout d'abord, on génère un objet ``$sec`` comportant les titres et valeurs des champs qui ne doivent être modifiés sous aucun prétexte : .. code-block:: php $sec = getSec( array( 'action' => 'saveRecord', 'class' => 'my_record_classname', 'uid' => $uid ) ); **On pourra ensuite insérer le hash et la liste des champs dans la prochaine requête faite à MindFlow.** Si celle-ci est réalisée via un formulaire, on poura ajouter 2 champs nommés 'sec' et 'fields' auxquels on assignera respectivement les valeurs ``$sec->hash`` et ``$sec->fields`` de notre objet $sec .. code-block:: php :emphasize-lines: 4,5 $html[] = ''; $html[] = ''; $html[] = ''; $html[] = ''; $html[] = ''; S'il s'agit plutôt d'une requête AJAX, on aura : .. code-block:: php :emphasize-lines: 6,7 var jqxhr = $.post("' . SUB_DIR . '/mf/core/ajax-core-json.php", { action: "saveRecord", uid: $uid, class: "my_record_classname", sec: "' . $sec->hash . '", fields: "' . $sec->fields . '", }); S'il s'agit d'une URL, on pourra aussi utiliser ``$sec->parameters`` pour injecter dans l'URL les paramètres déjà spécifiés dans la variable ``$sec``. Dans l'exemple ci-dessous, ``$sec->parameters`` contiendra automatiquement la chaine suivante : ``'action=saveRecord&class=my_record_classname&uid='.$uid`` On l'utilisera ainsi : .. code-block:: php :emphasize-lines: 6,7 $url = SUB_DIR.$config['website_pluginsdir'].'/vz_orders/ajax-vzOrders-html-backend.php?'.$sec->parameters.'&useAJAX=1&mode=backend&header=0&footer=0&sec='.$sec->hash.'&fields='.$sec->fields; Enfin, dans notre script recevant la requête émise, nous allons appeler la fonction getSec qui va générer un nouveau hash portant sur la valeur des champs reçus et les comparer au hash envoyé avec le formulaire : .. code-block:: php // Vérification du hash de sécurité. La requête ne sera pas honorée si le hash de sécurité est erroné ou manquant if(checkSec()){ // traitement de vos données de formulaire $uid = $_REQUEST['uid'] // ... } else { $mf->db->closeDB(); die('MindFlow : Request was not accepted. Check the "sec" and "fields" values must be present in the request and properly set.'); } .. important:: **A ce stade vous pourriez-vous demander : qu'est-ce qui empêche un hacker de forger son propre hash et de l'envoyer avec le formulaire, contournant ainsi la protection ?** La résponse est simple, c'est le "sel" ! Souvenez-vous, lors de l'installation, il vous a été vivement recommandé de personnaliser le paramètre de sel nommé ``$config['salt']``. Lorsqu'un hash est généré par MindFlow, celui-ci concatène la valeur du sel avec la valeur des champs ajoutés. Il réalise la même opération lors de la vérification du Hash. Or la valeur du sel est supposée être être unique à votre installation et secrête. **Aussi, si le hacker tente de forger un hash, il ne possèdera pas la valeur du sel et sa requête échouera. Il est donc essentiel pour la sécurité de bien personnaliser le paramètre de définition de la valeur du sel lors de l'installation.** Ancienne méthode ---------------- .. code-block:: php $secKeys = array( 'action' => 'saveRecord', 'class' => 'my_record_classname', 'uid' => $uid ); Ensuite on génère notre hash : .. code-block:: php $secHash = formsManager::makeSecValue($secKeys); Enfin, on génère une liste des champs concernés : .. code-block:: php $secFields = implode(',',array_keys($secKeys)); **On pourra ensuite insérer le hash et la liste des champs dans la prochaine requête faite à MindFlow.** Si celle-ci est réalisée via un formulaire, on poura ajouter 2 champs nommés 'sec' et 'fields' (ou tout autre nom souhaité, notez que Mindflow utilise déjà les noms 'sec' et 'fields' pour contrôler les champs standard de formulaires) : .. code-block:: php :emphasize-lines: 4,5 $html[] = ''; $html[] = ''; $html[] = ''; $html[] = ''; $html[] = ''; S'il s'agit plutôt d'une requête AJAX, on aura : .. code-block:: php :emphasize-lines: 6,7 var jqxhr = $.post("' . SUB_DIR . '/mf/core/ajax-core-json.php", { action:"saveRecord", uid: $uid, class: "my_record_classname", sec: "' . $secHash . '", fields: "' . $secFields . '", }); Enfin, dans notre script recevant la requête émise, nous allons générer un nouveau hash portant sur la valeur des champs reçus et le comparer au hash envoyé avec le formulaire : .. code-block:: php //Vérification du hash de sécurité. La requête ne sera pas honorée sie le hash de sécurité est erroné ou manquant if((isset($_REQUEST['sec']) && isset($_REQUEST['fields']) )&& formsManager::checkSecValue($_REQUEST['sec'],explode(',',$_REQUEST['fields']))){ // traitement du formulaire $uid = $_REQUEST['uid'] // ... } else { $mf->db->closeDB(); die('MindFlow : Request was not accepted. Check the "sec" and "fields" values must be present in the request and properly set.'); }