www/ecrire/public/aiguiller.php

   1 <?php
   2
   3 /***************************************************************************\
   4  *  SPIP, Systeme de publication pour l'internet                           *
   5  *                                                                         *
   6  *  Copyright (c) 2001-2017                                                *
   7  *  Arnaud Martin, Antoine Pitrou, Philippe Riviere, Emmanuel Saint-James  *
   8  *                                                                         *
   9  *  Ce programme est un logiciel libre distribue sous licence GNU/GPL.     *
  10  *  Pour plus de details voir le fichier COPYING.txt ou l'aide en ligne.   *
  11 \***************************************************************************/
  12
  13 if (!defined('_ECRIRE_INC_VERSION')) {
  14         return;
  15 }
  16
  17 function securiser_redirect_action($redirect) {
  18         if ((tester_url_absolue($redirect) or preg_match(',^\w+:,',trim($redirect)))
  19                 and !defined('_AUTORISER_ACTION_ABS_REDIRECT')) {
  20                 // si l'url est une url du site, on la laisse passer sans rien faire
  21                 // c'est encore le plus simple
  22                 $base = $GLOBALS['meta']['adresse_site'] . "/";
  23                 if (strlen($base) and strncmp($redirect, $base, strlen($base)) == 0) {
  24                         return $redirect;
  25                 }
  26                 $base = url_de_base();
  27                 if (strlen($base) and strncmp($redirect, $base, strlen($base)) == 0) {
  28                         return $redirect;
  29                 }
  30
  31                 return "";
  32         }
  33
  34         return $redirect;
  35 }
  36
  37 // http://code.spip.net/@traiter_appels_actions
  38 function traiter_appels_actions() {
  39         // cas de l'appel qui renvoie une redirection (302) ou rien (204)
  40         if ($action = _request('action')) {
  41                 include_spip('base/abstract_sql'); // chargement systematique pour les actions
  42                 include_spip('inc/autoriser');
  43                 include_spip('inc/headers');
  44                 include_spip('inc/actions');
  45                 // des actions peuvent appeler _T
  46                 if (!isset($GLOBALS['spip_lang'])) {
  47                         include_spip('inc/lang');
  48                         utiliser_langue_visiteur();
  49                 }
  50                 // si l'action est provoque par un hit {ajax}
  51                 // il faut transmettre l'env ajax au redirect
  52                 // on le met avant dans la query string au cas ou l'action fait elle meme sa redirection
  53                 if (($v = _request('var_ajax'))
  54                         and ($v !== 'form')
  55                         and ($args = _request('var_ajax_env'))
  56                         and ($url = _request('redirect'))
  57                 ) {
  58                         $url = parametre_url($url, 'var_ajax', $v, '&');
  59                         $url = parametre_url($url, 'var_ajax_env', $args, '&');
  60                         set_request('redirect', $url);
  61                 } else {
  62                         if (_request('redirect')) {
  63                                 set_request('redirect', securiser_redirect_action(_request('redirect')));
  64                         }
  65                 }
  66                 $var_f = charger_fonction($action, 'action');
  67                 $var_f();
  68                 if (!isset($GLOBALS['redirect'])) {
  69                         $GLOBALS['redirect'] = _request('redirect');
  70                         if ($_SERVER['REQUEST_METHOD'] == 'POST') {
  71                                 $GLOBALS['redirect'] = urldecode($GLOBALS['redirect']);
  72                         }
  73                         $GLOBALS['redirect'] = securiser_redirect_action($GLOBALS['redirect']);
  74                 }
  75                 if ($url = $GLOBALS['redirect']) {
  76                         // si l'action est provoque par un hit {ajax}
  77                         // il faut transmettre l'env ajax au redirect
  78                         // qui a pu etre defini par l'action
  79                         if (($v = _request('var_ajax'))
  80                                 and ($v !== 'form')
  81                                 and ($args = _request('var_ajax_env'))
  82                         ) {
  83                                 $url = parametre_url($url, 'var_ajax', $v, '&');
  84                                 $url = parametre_url($url, 'var_ajax_env', $args, '&');
  85                                 // passer l'ancre en variable pour pouvoir la gerer cote serveur
  86                                 $url = preg_replace(',#([^#&?]+)$,', "&var_ajax_ancre=\\1", $url);
  87                         }
  88                         $url = str_replace('&amp;', '&', $url); // les redirections se font en &, pas en en &amp;
  89                         redirige_par_entete($url);
  90                 }
  91                 if (!headers_sent()
  92                         and !ob_get_length()
  93                 ) {
  94                         http_status(204);
  95                 } // No Content
  96                 return true;
  97         }
  98
  99         return false;
 100 }
 101
 102
 103 // http://code.spip.net/@refuser_traiter_formulaire_ajax
 104 function refuser_traiter_formulaire_ajax() {
 105         if ($v = _request('var_ajax')
 106                 and $v == 'form'
 107                 and $form = _request('formulaire_action')
 108                 and $args = _request('formulaire_action_args')
 109                 and decoder_contexte_ajax($args, $form) !== false
 110         ) {
 111                 // on est bien dans le contexte de traitement d'un formulaire en ajax
 112                 // mais traiter ne veut pas
 113                 // on le dit a la page qui va resumbit
 114                 // sans ajax
 115                 include_spip('inc/actions');
 116                 ajax_retour('noajax', false);
 117                 exit;
 118         }
 119 }
 120
 121 // http://code.spip.net/@traiter_appels_inclusions_ajax
 122 function traiter_appels_inclusions_ajax() {
 123         // traiter les appels de bloc ajax (ex: pagination)
 124         if ($v = _request('var_ajax')
 125                 and $v !== 'form'
 126                 and $args = _request('var_ajax_env')
 127         ) {
 128                 include_spip('inc/filtres');
 129                 include_spip('inc/actions');
 130                 if ($args = decoder_contexte_ajax($args)
 131                         and $fond = $args['fond']
 132                 ) {
 133                         include_spip('public/assembler');
 134                         $contexte = calculer_contexte();
 135                         $contexte = array_merge($args, $contexte);
 136                         $page = recuperer_fond($fond, $contexte, array('trim' => false));
 137                         $texte = $page;
 138                         if ($ancre = _request('var_ajax_ancre')) {
 139                                 // pas n'importe quoi quand meme dans la variable !
 140                                 $ancre = str_replace(array('<', '"', "'"), array('&lt;', '&quot;', ''), $ancre);
 141                                 $texte = "<a href='#$ancre' name='ajax_ancre' style='display:none;'>anchor</a>" . $texte;
 142                         }
 143                 } else {
 144                         include_spip('inc/headers');
 145                         http_status(403);
 146                         $texte = _L('signature ajax bloc incorrecte');
 147                 }
 148                 ajax_retour($texte, false);
 149
 150                 return true; // on a fini le hit
 151         }
 152
 153         return false;
 154 }
 155
 156 // au 1er appel, traite les formulaires dynamiques charger/verifier/traiter
 157 // au 2e se sachant 2e, retourne les messages et erreurs stockes au 1er
 158 // Le 1er renvoie True si il faut faire exit a la sortie
 159
 160 // http://code.spip.net/@traiter_formulaires_dynamiques
 161 function traiter_formulaires_dynamiques($get = false) {
 162         static $post = array();
 163         static $done = false;
 164
 165         if ($get) {
 166                 return $post;
 167         }
 168         if ($done) {
 169                 return false;
 170         }
 171         $done = true;
 172
 173         if (!($form = _request('formulaire_action')
 174                 and $args = _request('formulaire_action_args'))
 175         ) {
 176                 return false;
 177         } // le hit peut continuer normalement
 178
 179         include_spip('inc/filtres');
 180         if (($args = decoder_contexte_ajax($args, $form)) === false) {
 181                 spip_log("signature ajax form incorrecte : $form");
 182
 183                 return false; // continuons le hit comme si de rien etait
 184         } else {
 185                 include_spip('inc/lang');
 186                 // sauvegarder la lang en cours
 187                 $old_lang = $GLOBALS['spip_lang'];
 188                 // changer la langue avec celle qui a cours dans le formulaire
 189                 // on la depile de $args car c'est un argument implicite masque
 190                 changer_langue(array_shift($args));
 191
 192
 193                 // inclure mes_fonctions et autres filtres avant verifier/traiter
 194                 include_spip('public/parametrer');
 195                 // ainsi que l'API SQL bien utile dans verifier/traiter
 196                 include_spip('base/abstract_sql');
 197
 198                 /**
 199                  * Pipeline exécuté lors de la soumission d'un formulaire,
 200                  * mais avant l'appel de la fonction de vérification.
 201                  */
 202                 pipeline(
 203                         'formulaire_receptionner',
 204                         array(
 205                                 'args' => array('form' => $form, 'args' => $args),
 206                                 'data' => null,
 207                         )
 208                 );
 209
 210                 $verifier = charger_fonction("verifier", "formulaires/$form/", true);
 211                 $post["erreurs_$form"] = pipeline(
 212                         'formulaire_verifier',
 213                         array(
 214                                 'args' => array('form' => $form, 'args' => $args),
 215                                 'data' => $verifier ? call_user_func_array($verifier, $args) : array()
 216                         )
 217                 );
 218                 // prise en charge CVT multi etape si besoin
 219                 if (_request('cvtm_prev_post')) {
 220                         include_spip('inc/cvt_multietapes');
 221                         $post["erreurs_$form"] = cvtmulti_formulaire_verifier_etapes(
 222                                 array('form' => $form, 'args' => $args),
 223                                 $post["erreurs_$form"]
 224                         );
 225                 }
 226
 227                 // accessibilite : si des erreurs mais pas de message general l'ajouter
 228                 if (count($post["erreurs_$form"]) and !isset($post["erreurs_$form"]['message_erreur'])) {
 229                         $post["erreurs_$form"]['message_erreur'] = singulier_ou_pluriel(count($post["erreurs_$form"]),
 230                                 'avis_1_erreur_saisie', 'avis_nb_erreurs_saisie');
 231                 }
 232
 233                 // si on ne demandait qu'une verif json
 234                 if (_request('formulaire_action_verifier_json')) {
 235                         include_spip('inc/json');
 236                         include_spip('inc/actions');
 237                         ajax_retour(json_encode($post["erreurs_$form"]), 'text/plain');
 238
 239                         return true; // on a fini le hit
 240                 }
 241                 $retour = "";
 242                 if ((count($post["erreurs_$form"]) == 0)) {
 243                         $rev = "";
 244                         if ($traiter = charger_fonction("traiter", "formulaires/$form/", true)) {
 245                                 $rev = call_user_func_array($traiter, $args);
 246                         }
 247
 248                         $rev = pipeline(
 249                                 'formulaire_traiter',
 250                                 array(
 251                                         'args' => array('form' => $form, 'args' => $args),
 252                                         'data' => $rev
 253                                 )
 254                         );
 255                         // le retour de traiter est
 256                         // un tableau explicite ('editable'=>$editable,'message_ok'=>$message,'redirect'=>$redirect,'id_xx'=>$id_xx)
 257                         // il permet le pipelinage, en particulier
 258                         // en y passant l'id de l'objet cree/modifie
 259                         // si message_erreur est present, on considere que le traitement a echoue
 260                         $post["message_ok_$form"] = '';
 261                         // on peut avoir message_ok et message_erreur
 262                         if (isset($rev['message_ok'])) {
 263                                 $post["message_ok_$form"] = $rev['message_ok'];
 264                         }
 265
 266                         // verifier si traiter n'a pas echoue avec une erreur :
 267                         if (isset($rev['message_erreur'])) {
 268                                 $post["erreurs_$form"]["message_erreur"] = $rev['message_erreur'];
 269                                 // si il y a une erreur on ne redirige pas
 270                         } else {
 271                                 // sinon faire ce qu'il faut :
 272                                 if (isset($rev['editable'])) {
 273                                         $post["editable_$form"] = $rev['editable'];
 274                                 }
 275                                 // si une redirection est demandee, appeler redirigae_formulaire qui choisira
 276                                 // le bon mode de redirection (302 et on ne revient pas ici, ou javascript et on continue)
 277                                 if (isset($rev['redirect']) and $rev['redirect']) {
 278                                         include_spip('inc/headers');
 279                                         list($masque, $message) = redirige_formulaire($rev['redirect'], '', 'ajaxform');
 280                                         $post["message_ok_$form"] .= $message;
 281                                         $retour .= $masque;
 282                                 }
 283                         }
 284                 }
 285                 // si le formulaire a ete soumis en ajax, on le renvoie direct !
 286                 if (_request('var_ajax')) {
 287                         if (find_in_path('formulaire_.php', 'balise/', true)) {
 288                                 include_spip('inc/actions');
 289                                 include_spip('public/assembler');
 290                                 array_unshift($args, $form);
 291                                 $retour .= inclure_balise_dynamique(call_user_func_array('balise_formulaire__dyn', $args), false);
 292                                 // on ajoute un br en display none en tete du retour ajax pour regler un bug dans IE6/7
 293                                 // sans cela le formulaire n'est pas actif apres le hit ajax
 294                                 // la classe ajax-form-is-ok sert a s'assurer que le retour ajax s'est bien passe
 295                                 $retour = "<br class='bugajaxie ajax-form-is-ok' style='display:none;'/>" . $retour;
 296                                 ajax_retour($retour, false);
 297
 298                                 return true; // on a fini le hit
 299                         }
 300                 }
 301                 // restaurer la lang en cours
 302                 changer_langue($old_lang);
 303         }
 304
 305         return false; // le hit peut continuer normalement
 306 }