3 /***************************************************************************\
4 * SPIP, Systeme de publication pour l'internet *
6 * Copyright (c) 2001-2014 *
7 * Arnaud Martin, Antoine Pitrou, Philippe Riviere, Emmanuel Saint-James *
9 * Ce programme est un logiciel libre distribue sous licence GNU/GPL. *
10 * Pour plus de details voir le fichier COPYING.txt ou l'aide en ligne. *
11 \***************************************************************************/
14 if (!defined('_ECRIRE_INC_VERSION')) return;
17 * Composer le code d'execution d'un texte
18 * en principe juste un echappement de guillemets
19 * sauf si on veut aussi echapper et interdire les scripts serveurs
22 * @param string $texte
24 * @param string $arglist
28 function sandbox_composer_texte($texte, &$p){
29 $code = "'".str_replace(array("\\","'"),array("\\\\","\\'"), $texte)."'";
35 * Composer le code d'execution d'un filtre
39 * @param string $arglist
43 function sandbox_composer_filtre($fonc, $code, $arglist, &$p){
44 if (isset($GLOBALS['spip_matrice'][$fonc])) {
45 $code = "filtrer('$fonc',$code$arglist)";
48 // le filtre est defini sous forme de fonction ou de methode
49 // par ex. dans inc_texte, inc_filtres ou mes_fonctions
50 elseif ($f = chercher_filtre($fonc)) {
51 // cas particulier : le filtre |set doit acceder a la $Pile
52 // proto: filtre_set(&$Pile, $val, $args...)
53 $refl = new ReflectionFunction($f);
54 $refs = $refl->getParameters();
55 if (isset($refs[0]) AND $refs[0]->name
== 'Pile') {
56 $code = "$f(\$Pile,$code$arglist)";
59 $code = "$f($code$arglist)";
62 // le filtre n'existe pas,
64 else erreur_squelette(array('zbug_erreur_filtre', array('filtre'=> texte_script($fonc))), $p);
69 // Calculer un <INCLURE(xx.php)>
70 // La constante ci-dessous donne le code general quand il s'agit d'un script.
71 define('CODE_INCLURE_SCRIPT', 'if (!($path = %s) OR !is_readable($path))
72 erreur_squelette(array("fichier_introuvable", array("fichier" => "%s")), array(%s));
74 $contexte_inclus = %s;
81 * Composer le code d'inclusion PHP
83 * @param string $fichier
85 * @param array $_contexte
88 function sandbox_composer_inclure_php($fichier, &$p, $_contexte){
89 $compil = texte_script(memoriser_contexte_compil($p));
90 // si inexistant, on essaiera a l'execution
91 if ($path = find_in_path($fichier))
93 else $path = "find_in_path(\"$fichier\")";
95 return sprintf(CODE_INCLURE_SCRIPT
, $path, $fichier, $compil, $_contexte);
99 * Composer le code se securisation anti script
101 * @param string $code
105 function sandbox_composer_interdire_scripts($code, &$p){
107 if ($p->interdire_scripts
108 AND $p->etoile
!= '**') {
109 if (!preg_match("/^sinon[(](.*),'([^']*)'[)]$/", $code, $r))
110 $code = "interdire_scripts($code)";
112 $code = interdire_scripts($r[2]);
113 $code = "sinon(interdire_scripts($r[1]),'$code')";
121 * Appliquer des filtres sur un squelette complet
122 * la fonction peut plusieurs tableaux de filtres a partir du 3eme argument
123 * qui seront appliques dans l'ordre
126 * @param string $corps
127 * @param array $filtres
129 * @return mixed|string
131 function sandbox_filtrer_squelette($skel, $corps, $filtres){
132 $series_filtres = func_get_args();
133 array_shift($series_filtres);// skel
134 array_shift($series_filtres);// corps
136 // proteger les <INCLUDE> et tous les morceaux de php licites
137 if ($skel['process_ins'] == 'php')
138 $corps = preg_replace_callback(',<[?](\s|php|=).*[?]>,UimsS','echapper_php_callback', $corps);
140 // recuperer les couples de remplacement
141 $replace = echapper_php_callback();
143 foreach($series_filtres as $filtres){
145 foreach ($filtres as $filtre) {
146 if ($filtre AND $f = chercher_filtre($filtre))
151 // restaurer les echappements
152 return str_replace($replace[0],$replace[1],$corps);
156 // http://doc.spip.org/@echapper_php_callback
157 function echapper_php_callback($r=null) {
158 static $src = array();
159 static $dst = array();
161 // si on recoit un tableau, on est en mode echappement
162 // on enregistre le code a echapper dans dst, et le code echappe dans src
165 return $src[] = '___'.md5($r[0]).'___';
168 // si on recoit pas un tableau, on renvoit les couples de substitution
169 // et on RAZ les remplacements
170 $r = array($src,$dst);
171 $src = $dst = array();