www/ecrire/inc/session.php

   1 <?php
   2
   3 /***************************************************************************\
   4  *  SPIP, Systeme de publication pour l'internet                           *
   5  *                                                                         *
   6  *  Copyright (c) 2001-2011                                                *
   7  *  Arnaud Martin, Antoine Pitrou, Philippe Riviere, Emmanuel Saint-James  *
   8  *                                                                         *
   9  *  Ce programme est un logiciel libre distribue sous licence GNU/GPL.     *
  10  *  Pour plus de details voir le fichier COPYING.txt ou l'aide en ligne.   *
  11 \***************************************************************************/
  12
  13 if (!defined('_ECRIRE_INC_VERSION')) return;
  14
  15 /*
  16  * Gestion de l'authentification par sessions
  17  * a utiliser pour valider l'acces (bloquant)
  18  * ou pour reconnaitre un utilisateur (non bloquant)
  19  *
  20  */
  21
  22 $GLOBALS['visiteur_session'] = ''; # globale decrivant l'auteur
  23 $GLOBALS['rejoue_session'] = ''; # globale pour insertion de JS en fin de page
  24
  25 //
  26 // 3 actions sur les sessions, selon le type de l'argument:
  27 //
  28 // - numerique: efface toutes les sessions de l'auteur (retour quelconque)
  29 // - tableau: cree une session pour l'auteur decrit et retourne l'identifiant
  30 // - autre: predicat de validite de la session indiquee par le cookie
  31
  32 // http://doc.spip.org/@inc_session_dist
  33 function inc_session_dist($auteur=false)
  34 {
  35         if (is_numeric($auteur))
  36                 return supprimer_sessions($auteur);
  37         else if (is_array($auteur))
  38                 return ajouter_session($auteur);
  39         else
  40                 return verifier_session($auteur);
  41 }
  42
  43 //
  44 // Ajoute une session pour l'auteur decrit par un tableau issu d'un SELECT-SQL
  45 //
  46
  47 // http://doc.spip.org/@ajouter_session
  48 function ajouter_session($auteur) {
  49         // Si le client a deja une session valide pour son id_auteur
  50         // on conserve le meme fichier
  51
  52         // Attention un visiteur peut avoir une session et un id=0,
  53         // => ne pas melanger les sessions des differents visiteurs
  54         $id_auteur = intval($auteur['id_auteur']);
  55         if (!isset($_COOKIE['spip_session'])
  56         OR !preg_match(',^'.$id_auteur.'_,', $_COOKIE['spip_session']))
  57                 $_COOKIE['spip_session'] = $id_auteur.'_'.md5(uniqid(rand(),true));
  58
  59         $fichier_session = fichier_session('alea_ephemere');
  60
  61         // Si ce n'est pas un inscrit (les inscrits ont toujours des choses en session)
  62         // on verifie qu'il y a vraiment des choses
  63         if (!$id_auteur){
  64                 // On supprime les basiques pour voir le contenu effectif
  65                 $auteur_verif = $auteur;
  66                 if (isset($auteur_verif['id_auteur'])) unset($auteur_verif['id_auteur']);
  67                 if (isset($auteur_verif['hash_env'])) unset($auteur_verif['hash_env']);
  68                 if (isset($auteur_verif['ip_change'])) unset($auteur_verif['ip_change']);
  69
  70                 // Les variables vraiment nulle ne sont pas à prendre en compte non plus
  71                 foreach($auteur_verif as $variable=>$valeur){
  72                         if ($valeur === null){
  73                                 unset($auteur_verif[$variable]);
  74                         }
  75                 }
  76
  77                 // Si c'est vide alors on supprime et on ne fait rien
  78                 if (!$auteur_verif){
  79                         if (@file_exists($fichier_session)) spip_unlink($fichier_session);
  80                         return false;
  81                 }
  82         }
  83
  84         // Maintenant on sait qu'il faut memoriser.
  85         // On s'assure d'avoir au moins ces valeurs
  86         $auteur['id_auteur'] = $id_auteur;
  87         if (!isset($auteur['hash_env'])) $auteur['hash_env'] = hash_env();
  88         if (!isset($auteur['ip_change'])) $auteur['ip_change'] = false;
  89
  90         if (!ecrire_fichier_session($fichier_session, $auteur)) {
  91                 include_spip('inc/minipres');
  92                 echo minipres();
  93                 exit;
  94         } else {
  95                 include_spip('inc/cookie');
  96                 $duree = _RENOUVELLE_ALEA *
  97                   (!isset($auteur['cookie'])
  98                         ? 2 : (is_numeric($auteur['cookie'])
  99                                 ? $auteur['cookie'] : 20));
 100                 spip_setcookie(
 101                         'spip_session',
 102                         $_COOKIE['spip_session'],
 103                         time() + $duree
 104                         );
 105                 spip_log("ajoute session $fichier_session cookie $duree");
 106                 return $_COOKIE['spip_session'];
 107         }
 108 }
 109
 110 // Ajouter une donnee dans la session SPIP
 111 // http://doc.spip.org/@session_set
 112 function session_set($nom, $val=null) {
 113         // On ajoute la valeur dans la globale
 114         $GLOBALS['visiteur_session'][$nom] = $val;
 115
 116         ajouter_session($GLOBALS['visiteur_session']);
 117         actualiser_sessions($GLOBALS['visiteur_session']);
 118 }
 119
 120 // Lire une valeur dans la session SPIP
 121 // http://doc.spip.org/@session_get
 122 function session_get($nom) {
 123         return $GLOBALS['visiteur_session'][$nom];
 124 }
 125
 126 // Quand on modifie une fiche auteur on appelle cette fonction qui va
 127 // mettre a jour les fichiers de session de l'auteur en question.
 128 // (auteurs identifies seulement)
 129 // http://doc.spip.org/@actualiser_sessions
 130 function actualiser_sessions($auteur) {
 131         if (!$id_auteur=intval($auteur['id_auteur']))
 132                 return;
 133
 134         // memoriser l'auteur courant (celui qui modifie la fiche)
 135         $sauve = $GLOBALS['visiteur_session'];
 136
 137         // .. mettre a jour les sessions de l'auteur cible
 138         foreach(preg_files(_DIR_SESSIONS, '/'.$id_auteur.'_.*\.php') as $session) {
 139                 $GLOBALS['visiteur_session'] = array();
 140                 include $session; # $GLOBALS['visiteur_session'] est alors l'auteur cible
 141
 142                 $auteur = array_merge($GLOBALS['visiteur_session'], $auteur);
 143                 ecrire_fichier_session($session, $auteur);
 144         }
 145
 146         // restaurer l'auteur courant
 147         $GLOBALS['visiteur_session'] = $sauve;
 148
 149         // si c'est le meme, rafraichir les valeurs
 150         if ($auteur['id_auteur'] == $sauve['id_auteur'])
 151                 verifier_session();
 152 }
 153
 154 // http://doc.spip.org/@ecrire_fichier_session
 155 function ecrire_fichier_session($fichier, $auteur) {
 156
 157         // ne pas enregistrer ces elements de securite
 158         // dans le fichier de session
 159         unset($auteur['pass']);
 160         unset($auteur['htpass']);
 161         unset($auteur['low_sec']);
 162         unset($auteur['alea_actuel']);
 163         unset($auteur['alea_futur']);
 164
 165         // ne pas enregistrer les valeurs vraiment nulle dans le fichier
 166         foreach($auteur as $variable=>$valeur){
 167                 if ($valeur === null){
 168                         unset($auteur[$variable]);
 169                 }
 170         }
 171
 172         // enregistrer les autres donnees du visiteur
 173         $texte = "<"."?php\n";
 174         foreach ($auteur as $var => $val)
 175                 $texte .= '$GLOBALS[\'visiteur_session\'][\''.$var.'\'] = '
 176                         . var_export($val,true).";\n";
 177         $texte .= "?".">\n";
 178
 179         return ecrire_fichier($fichier, $texte);
 180 }
 181
 182 //
 183 // Cette fonction efface toutes les sessions appartenant a un auteur.
 184 // On en profite pour effacer toutes les sessions
 185 // creees depuis plus de 4*_RENOUVELLE_ALEA.
 186 // Tenir compte de l'ancien format ou les noms commencaient par "session_"
 187 // et du meme coup des repertoires plats, et de l'ID 0 qui vaut les anonymes.
 188
 189 // http://doc.spip.org/@supprimer_sessions
 190 function supprimer_sessions($id_auteur) {
 191
 192         $i = 0;
 193         $t = (time()  - (_RENOUVELLE_ALEA << 2));
 194         $dir = opendir(_DIR_SESSIONS);
 195         while(($e = readdir($dir)) !== false) {
 196                 if (!preg_match(",^\D*(\d+)_\w{32}\.php[3]?$,", $e, $r))
 197                         continue;
 198                 $f = _DIR_SESSIONS . $e;
 199                 if (($id_auteur AND ($r[1] == $id_auteur))
 200                 OR ($t > filemtime($f))) {
 201                         spip_unlink($f);
 202                         $i++;
 203                 }
 204         }
 205         // pour un anonyme, se fonder sur le cookie pour trouver le fichier
 206         if (!$id_auteur) {
 207                 verifier_session();
 208                 spip_unlink(fichier_session('alea_ephemere', true));
 209         }
 210         spip_log("destruction des $i fichiers de session de $id_auteur et 0");
 211         // forcer le recalcul de la session courante
 212         spip_session(true);
 213 }
 214
 215 //
 216 // Verifie si le cookie spip_session indique une session valide.
 217 // Si oui, la decrit dans le tableau $visiteur_session et retourne id_auteur
 218 // La rejoue si IP change puis accepte le changement si $change=true
 219 //
 220
 221 // http://doc.spip.org/@verifier_session
 222 function verifier_session($change=false) {
 223         // si pas de cookie, c'est fichu
 224
 225         if (!isset($_COOKIE['spip_session']))
 226                 return false;
 227
 228         // Tester avec alea courant
 229         $fichier_session = fichier_session('alea_ephemere', true);
 230
 231         if ($fichier_session AND @file_exists($fichier_session)) {
 232                 include($fichier_session);
 233         } else {
 234                 // Sinon, tester avec alea precedent
 235                 $fichier_session = fichier_session('alea_ephemere_ancien', true);
 236                 if (!$fichier_session OR !@file_exists($fichier_session)) return false;
 237
 238                 // Renouveler la session avec l'alea courant
 239                 include($fichier_session);
 240                 spip_unlink($fichier_session);
 241                 ajouter_session($GLOBALS['visiteur_session']);
 242         }
 243
 244         // Compatibilite ascendante : auteur_session est visiteur_session si
 245         // c'est un auteur SPIP authentifie (tandis qu'un visiteur_session peut
 246         // n'etre qu'identifie, sans aucune authentification).
 247
 248         if ($GLOBALS['visiteur_session']['id_auteur'])
 249                 $GLOBALS['auteur_session'] = &$GLOBALS['visiteur_session'];
 250
 251         // Si l'adresse IP change, inc/presentation mettra une balise image
 252         // avec un URL de rappel demandant a changer le nom de la session.
 253         // Seul celui qui a l'IP d'origine est rejoue
 254         // ainsi un eventuel voleur de cookie ne pourrait pas deconnecter
 255         // sa victime, mais se ferait deconnecter par elle.
 256         if (hash_env() != $GLOBALS['visiteur_session']['hash_env']) {
 257                 if (!$GLOBALS['visiteur_session']['ip_change']) {
 258                         $GLOBALS['rejoue_session'] = rejouer_session();
 259                         $GLOBALS['visiteur_session']['ip_change'] = true;
 260                         ajouter_session($GLOBALS['visiteur_session']);
 261                 } else if ($change) {
 262                         spip_log("session non rejouee, vol de cookie ?");
 263                 }
 264         } else if ($change) {
 265                 spip_log("rejoue session $fichier_session ".$_COOKIE['spip_session']);
 266                 spip_unlink($fichier_session);
 267                 $GLOBALS['visiteur_session']['ip_change'] = false;
 268                 unset($_COOKIE['spip_session']);
 269                 ajouter_session($GLOBALS['visiteur_session']);
 270         }
 271
 272         return is_numeric($GLOBALS['visiteur_session']['id_auteur'])?$GLOBALS['visiteur_session']['id_auteur']:null;
 273 }
 274
 275 // Code a inserer par inc/presentation pour rejouer la session
 276 // Voir action/cookie qui sera appele.
 277
 278 // http://doc.spip.org/@rejouer_session
 279 function rejouer_session()
 280 {
 281         include_spip('inc/filtres');
 282         return    http_img_pack('rien.gif', " ", "id='img_session' width='0' height='0'") .
 283                   http_script("\ndocument.img_session.src='" . generer_url_action('cookie','change_session=oui', true) .  "'");
 284 }
 285
 286 //
 287 // Calcule le nom du fichier session
 288 //
 289 // http://doc.spip.org/@fichier_session
 290 function fichier_session($alea, $tantpis=false) {
 291
 292         if (!isset($GLOBALS['meta'][$alea])) {
 293                 include_spip('base/abstract_sql');
 294                 $GLOBALS['meta'][$alea]  = sql_getfetsel('valeur', 'spip_meta', "nom=" . sql_quote($alea), '','', '', '', '', 'continue');
 295         }
 296
 297         if (!$GLOBALS['meta'][$alea] AND !$tantpis) {
 298                 include_spip('inc/minipres');
 299                 echo minipres();
 300         } else {
 301
 302                 $repertoire = _DIR_SESSIONS;
 303                 if(!@file_exists($repertoire)) {
 304                         if ($tantpis) return '';
 305                         $repertoire = preg_replace(','._DIR_TMP.',', '', $repertoire);
 306                         include_spip('inc/flock');
 307                         $repertoire = sous_repertoire(_DIR_TMP, $repertoire);
 308                 }
 309                 $c = $_COOKIE['spip_session'];
 310                 return $repertoire . intval($c) .'_' . md5($c.' '.$GLOBALS['meta'][$alea]). '.php';
 311         }
 312 }
 313
 314 //
 315 // On verifie l'IP et le nom du navigateur
 316 //
 317
 318 // http://doc.spip.org/@hash_env
 319 function hash_env() {
 320   static $res ='';
 321   if ($res) return $res;
 322   return $res = md5($GLOBALS['ip'] . $_SERVER['HTTP_USER_AGENT']);
 323 }
 324
 325 ?>