44629a19eed7e7a8159a6f7513cf96cbabf97b9a
3 /***************************************************************************\
4 * SPIP, Systeme de publication pour l'internet *
6 * Copyright (c) 2001-2019 *
7 * Arnaud Martin, Antoine Pitrou, Philippe Riviere, Emmanuel Saint-James *
9 * Ce programme est un logiciel libre distribue sous licence GNU/GPL. *
10 * Pour plus de details voir le fichier COPYING.txt ou l'aide en ligne. *
11 \***************************************************************************/
13 if (!defined('_ECRIRE_INC_VERSION')) {
17 function securiser_redirect_action($redirect) {
18 // cas d'un double urlencode : si un urldecode de l'url n'est pas secure, on retient ca comme redirect
19 if (strpos($redirect, '%') !== false) {
20 $r2 = urldecode($redirect);
21 if (($r3 = securiser_redirect_action($r2)) !== $r2) {
25 if ((tester_url_absolue($redirect) or preg_match(',^\w+:,',trim($redirect)))
26 and !defined('_AUTORISER_ACTION_ABS_REDIRECT')) {
27 // si l'url est une url du site, on la laisse passer sans rien faire
28 // c'est encore le plus simple
29 $base = $GLOBALS['meta']['adresse_site'] . "/";
30 if (strlen($base) and strncmp($redirect, $base, strlen($base)) == 0) {
33 $base = url_de_base();
34 if (strlen($base) and strncmp($redirect, $base, strlen($base)) == 0) {
44 // http://code.spip.net/@traiter_appels_actions
45 function traiter_appels_actions() {
46 // cas de l'appel qui renvoie une redirection (302) ou rien (204)
47 if ($action = _request('action')) {
48 include_spip('base/abstract_sql'); // chargement systematique pour les actions
49 include_spip('inc/autoriser');
50 include_spip('inc/headers');
51 include_spip('inc/actions');
52 // des actions peuvent appeler _T
53 if (!isset($GLOBALS['spip_lang'])) {
54 include_spip('inc/lang');
55 utiliser_langue_visiteur();
57 // si l'action est provoque par un hit {ajax}
58 // il faut transmettre l'env ajax au redirect
59 // on le met avant dans la query string au cas ou l'action fait elle meme sa redirection
60 if (($v = _request('var_ajax'))
62 and ($args = _request('var_ajax_env'))
63 and ($url = _request('redirect'))
65 $url = parametre_url($url, 'var_ajax', $v, '&');
66 $url = parametre_url($url, 'var_ajax_env', $args, '&');
67 set_request('redirect', $url);
69 if (_request('redirect')) {
70 set_request('redirect', securiser_redirect_action(_request('redirect')));
73 $var_f = charger_fonction($action, 'action');
75 if (!isset($GLOBALS['redirect'])) {
76 $GLOBALS['redirect'] = _request('redirect');
77 if ($_SERVER['REQUEST_METHOD'] == 'POST') {
78 $GLOBALS['redirect'] = urldecode($GLOBALS['redirect']);
80 $GLOBALS['redirect'] = securiser_redirect_action($GLOBALS['redirect']);
82 if ($url = $GLOBALS['redirect']) {
83 // si l'action est provoque par un hit {ajax}
84 // il faut transmettre l'env ajax au redirect
85 // qui a pu etre defini par l'action
86 if (($v = _request('var_ajax'))
88 and ($args = _request('var_ajax_env'))
90 $url = parametre_url($url, 'var_ajax', $v, '&');
91 $url = parametre_url($url, 'var_ajax_env', $args, '&');
92 // passer l'ancre en variable pour pouvoir la gerer cote serveur
93 $url = preg_replace(',#([^#&?]+)$,', "&var_ajax_ancre=\\1", $url);
95 $url = str_replace('&', '&', $url); // les redirections se font en &, pas en en &
96 redirige_par_entete($url);
110 // http://code.spip.net/@refuser_traiter_formulaire_ajax
111 function refuser_traiter_formulaire_ajax() {
112 if ($v = _request('var_ajax')
114 and $form = _request('formulaire_action')
115 and $args = _request('formulaire_action_args')
116 and decoder_contexte_ajax($args, $form) !== false
118 // on est bien dans le contexte de traitement d'un formulaire en ajax
119 // mais traiter ne veut pas
120 // on le dit a la page qui va resumbit
122 include_spip('inc/actions');
123 ajax_retour('noajax', false);
128 // http://code.spip.net/@traiter_appels_inclusions_ajax
129 function traiter_appels_inclusions_ajax() {
130 // traiter les appels de bloc ajax (ex: pagination)
131 if ($v = _request('var_ajax')
133 and $args = _request('var_ajax_env')
135 include_spip('inc/filtres');
136 include_spip('inc/actions');
137 if ($args = decoder_contexte_ajax($args)
138 and $fond = $args['fond']
140 include_spip('public/assembler');
141 $contexte = calculer_contexte();
142 $contexte = array_merge($args, $contexte);
143 $page = recuperer_fond($fond, $contexte, array('trim' => false));
145 if ($ancre = _request('var_ajax_ancre')) {
146 // pas n'importe quoi quand meme dans la variable !
147 $ancre = str_replace(array('<', '"', "'"), array('<', '"', ''), $ancre);
148 $texte = "<a href='#$ancre' name='ajax_ancre' style='display:none;'>anchor</a>" . $texte;
151 include_spip('inc/headers');
153 $texte = _L('signature ajax bloc incorrecte');
155 ajax_retour($texte, false);
157 return true; // on a fini le hit
163 // au 1er appel, traite les formulaires dynamiques charger/verifier/traiter
164 // au 2e se sachant 2e, retourne les messages et erreurs stockes au 1er
165 // Le 1er renvoie True si il faut faire exit a la sortie
167 // http://code.spip.net/@traiter_formulaires_dynamiques
168 function traiter_formulaires_dynamiques($get = false) {
169 static $post = array();
170 static $done = false;
180 if (!($form = _request('formulaire_action')
181 and $args = _request('formulaire_action_args'))
184 } // le hit peut continuer normalement
186 include_spip('inc/filtres');
187 if (($args = decoder_contexte_ajax($args, $form)) === false) {
188 spip_log("signature ajax form incorrecte : $form");
190 return false; // continuons le hit comme si de rien etait
192 include_spip('inc/lang');
193 // sauvegarder la lang en cours
194 $old_lang = $GLOBALS['spip_lang'];
195 // changer la langue avec celle qui a cours dans le formulaire
196 // on la depile de $args car c'est un argument implicite masque
197 changer_langue(array_shift($args));
200 // inclure mes_fonctions et autres filtres avant verifier/traiter
201 include_spip('public/parametrer');
202 // ainsi que l'API SQL bien utile dans verifier/traiter
203 include_spip('base/abstract_sql');
206 * Pipeline exécuté lors de la soumission d'un formulaire,
207 * mais avant l'appel de la fonction de vérification.
210 'formulaire_receptionner',
212 'args' => array('form' => $form, 'args' => $args),
217 $verifier = charger_fonction("verifier", "formulaires/$form/", true);
218 $post["erreurs_$form"] = pipeline(
219 'formulaire_verifier',
221 'args' => array('form' => $form, 'args' => $args),
222 'data' => $verifier ?
call_user_func_array($verifier, $args) : array()
225 // prise en charge CVT multi etape si besoin
226 if (_request('cvtm_prev_post')) {
227 include_spip('inc/cvt_multietapes');
228 $post["erreurs_$form"] = cvtmulti_formulaire_verifier_etapes(
229 array('form' => $form, 'args' => $args),
230 $post["erreurs_$form"]
234 // accessibilite : si des erreurs mais pas de message general l'ajouter
235 if (count($post["erreurs_$form"]) and !isset($post["erreurs_$form"]['message_erreur'])) {
236 $post["erreurs_$form"]['message_erreur'] = singulier_ou_pluriel(count($post["erreurs_$form"]),
237 'avis_1_erreur_saisie', 'avis_nb_erreurs_saisie');
240 // si on ne demandait qu'une verif json
241 if (_request('formulaire_action_verifier_json')) {
242 include_spip('inc/json');
243 include_spip('inc/actions');
244 ajax_retour(json_encode($post["erreurs_$form"]), 'text/plain');
246 return true; // on a fini le hit
249 if ((count($post["erreurs_$form"]) == 0)) {
251 if ($traiter = charger_fonction("traiter", "formulaires/$form/", true)) {
252 $rev = call_user_func_array($traiter, $args);
256 'formulaire_traiter',
258 'args' => array('form' => $form, 'args' => $args),
262 // le retour de traiter est
263 // un tableau explicite ('editable'=>$editable,'message_ok'=>$message,'redirect'=>$redirect,'id_xx'=>$id_xx)
264 // il permet le pipelinage, en particulier
265 // en y passant l'id de l'objet cree/modifie
266 // si message_erreur est present, on considere que le traitement a echoue
267 $post["message_ok_$form"] = '';
268 // on peut avoir message_ok et message_erreur
269 if (isset($rev['message_ok'])) {
270 $post["message_ok_$form"] = $rev['message_ok'];
273 // verifier si traiter n'a pas echoue avec une erreur :
274 if (isset($rev['message_erreur'])) {
275 $post["erreurs_$form"]["message_erreur"] = $rev['message_erreur'];
276 // si il y a une erreur on ne redirige pas
278 // sinon faire ce qu'il faut :
279 if (isset($rev['editable'])) {
280 $post["editable_$form"] = $rev['editable'];
282 // si une redirection est demandee, appeler redirigae_formulaire qui choisira
283 // le bon mode de redirection (302 et on ne revient pas ici, ou javascript et on continue)
284 if (isset($rev['redirect']) and $rev['redirect']) {
285 include_spip('inc/headers');
286 list($masque, $message) = redirige_formulaire($rev['redirect'], '', 'ajaxform');
287 $post["message_ok_$form"] .= $message;
292 // si le formulaire a ete soumis en ajax, on le renvoie direct !
293 if (_request('var_ajax')) {
294 if (find_in_path('formulaire_.php', 'balise/', true)) {
295 include_spip('inc/actions');
296 include_spip('public/assembler');
297 array_unshift($args, $form);
298 $retour .= inclure_balise_dynamique(call_user_func_array('balise_formulaire__dyn', $args), false);
299 // on ajoute un br en display none en tete du retour ajax pour regler un bug dans IE6/7
300 // sans cela le formulaire n'est pas actif apres le hit ajax
301 // la classe ajax-form-is-ok sert a s'assurer que le retour ajax s'est bien passe
302 $retour = "<br class='bugajaxie ajax-form-is-ok' style='display:none;'/>" . $retour;
303 ajax_retour($retour, false);
305 return true; // on a fini le hit
308 // restaurer la lang en cours
309 changer_langue($old_lang);
312 return false; // le hit peut continuer normalement