www/ecrire/public/aiguiller.php

   1 <?php
   2
   3 /***************************************************************************\
   4  *  SPIP, Systeme de publication pour l'internet                           *
   5  *                                                                         *
   6  *  Copyright (c) 2001-2019                                                *
   7  *  Arnaud Martin, Antoine Pitrou, Philippe Riviere, Emmanuel Saint-James  *
   8  *                                                                         *
   9  *  Ce programme est un logiciel libre distribue sous licence GNU/GPL.     *
  10  *  Pour plus de details voir le fichier COPYING.txt ou l'aide en ligne.   *
  11 \***************************************************************************/
  12
  13 if (!defined('_ECRIRE_INC_VERSION')) {
  14         return;
  15 }
  16
  17 function securiser_redirect_action($redirect) {
  18         // cas d'un double urlencode : si un urldecode de l'url n'est pas secure, on retient ca comme redirect
  19         if (strpos($redirect, '%') !== false) {
  20                 $r2 = urldecode($redirect);
  21                 if (($r3 = securiser_redirect_action($r2)) !== $r2) {
  22                         return $r3;
  23                 }
  24         }
  25         if ((tester_url_absolue($redirect) or preg_match(',^\w+:,',trim($redirect)))
  26                 and !defined('_AUTORISER_ACTION_ABS_REDIRECT')) {
  27                 // si l'url est une url du site, on la laisse passer sans rien faire
  28                 // c'est encore le plus simple
  29                 $base = $GLOBALS['meta']['adresse_site'] . "/";
  30                 if (strlen($base) and strncmp($redirect, $base, strlen($base)) == 0) {
  31                         return $redirect;
  32                 }
  33                 $base = url_de_base();
  34                 if (strlen($base) and strncmp($redirect, $base, strlen($base)) == 0) {
  35                         return $redirect;
  36                 }
  37
  38                 return "";
  39         }
  40
  41         return $redirect;
  42 }
  43
  44 // http://code.spip.net/@traiter_appels_actions
  45 function traiter_appels_actions() {
  46         // cas de l'appel qui renvoie une redirection (302) ou rien (204)
  47         if ($action = _request('action')) {
  48                 include_spip('base/abstract_sql'); // chargement systematique pour les actions
  49                 include_spip('inc/autoriser');
  50                 include_spip('inc/headers');
  51                 include_spip('inc/actions');
  52                 // des actions peuvent appeler _T
  53                 if (!isset($GLOBALS['spip_lang'])) {
  54                         include_spip('inc/lang');
  55                         utiliser_langue_visiteur();
  56                 }
  57                 // si l'action est provoque par un hit {ajax}
  58                 // il faut transmettre l'env ajax au redirect
  59                 // on le met avant dans la query string au cas ou l'action fait elle meme sa redirection
  60                 if (($v = _request('var_ajax'))
  61                         and ($v !== 'form')
  62                         and ($args = _request('var_ajax_env'))
  63                         and ($url = _request('redirect'))
  64                 ) {
  65                         $url = parametre_url($url, 'var_ajax', $v, '&');
  66                         $url = parametre_url($url, 'var_ajax_env', $args, '&');
  67                         set_request('redirect', $url);
  68                 } else {
  69                         if (_request('redirect')) {
  70                                 set_request('redirect', securiser_redirect_action(_request('redirect')));
  71                         }
  72                 }
  73                 $var_f = charger_fonction($action, 'action');
  74                 $var_f();
  75                 if (!isset($GLOBALS['redirect'])) {
  76                         $GLOBALS['redirect'] = _request('redirect');
  77                         if ($_SERVER['REQUEST_METHOD'] == 'POST') {
  78                                 $GLOBALS['redirect'] = urldecode($GLOBALS['redirect']);
  79                         }
  80                         $GLOBALS['redirect'] = securiser_redirect_action($GLOBALS['redirect']);
  81                 }
  82                 if ($url = $GLOBALS['redirect']) {
  83                         // si l'action est provoque par un hit {ajax}
  84                         // il faut transmettre l'env ajax au redirect
  85                         // qui a pu etre defini par l'action
  86                         if (($v = _request('var_ajax'))
  87                                 and ($v !== 'form')
  88                                 and ($args = _request('var_ajax_env'))
  89                         ) {
  90                                 $url = parametre_url($url, 'var_ajax', $v, '&');
  91                                 $url = parametre_url($url, 'var_ajax_env', $args, '&');
  92                                 // passer l'ancre en variable pour pouvoir la gerer cote serveur
  93                                 $url = preg_replace(',#([^#&?]+)$,', "&var_ajax_ancre=\\1", $url);
  94                         }
  95                         $url = str_replace('&amp;', '&', $url); // les redirections se font en &, pas en en &amp;
  96                         redirige_par_entete($url);
  97                 }
  98                 if (!headers_sent()
  99                         and !ob_get_length()
 100                 ) {
 101                         http_status(204);
 102                 } // No Content
 103                 return true;
 104         }
 105
 106         return false;
 107 }
 108
 109
 110 // http://code.spip.net/@refuser_traiter_formulaire_ajax
 111 function refuser_traiter_formulaire_ajax() {
 112         if ($v = _request('var_ajax')
 113                 and $v == 'form'
 114                 and $form = _request('formulaire_action')
 115                 and $args = _request('formulaire_action_args')
 116                 and decoder_contexte_ajax($args, $form) !== false
 117         ) {
 118                 // on est bien dans le contexte de traitement d'un formulaire en ajax
 119                 // mais traiter ne veut pas
 120                 // on le dit a la page qui va resumbit
 121                 // sans ajax
 122                 include_spip('inc/actions');
 123                 ajax_retour('noajax', false);
 124                 exit;
 125         }
 126 }
 127
 128 // http://code.spip.net/@traiter_appels_inclusions_ajax
 129 function traiter_appels_inclusions_ajax() {
 130         // traiter les appels de bloc ajax (ex: pagination)
 131         if ($v = _request('var_ajax')
 132                 and $v !== 'form'
 133                 and $args = _request('var_ajax_env')
 134         ) {
 135                 include_spip('inc/filtres');
 136                 include_spip('inc/actions');
 137                 if ($args = decoder_contexte_ajax($args)
 138                         and $fond = $args['fond']
 139                 ) {
 140                         include_spip('public/assembler');
 141                         $contexte = calculer_contexte();
 142                         $contexte = array_merge($args, $contexte);
 143                         $page = recuperer_fond($fond, $contexte, array('trim' => false));
 144                         $texte = $page;
 145                         if ($ancre = _request('var_ajax_ancre')) {
 146                                 // pas n'importe quoi quand meme dans la variable !
 147                                 $ancre = str_replace(array('<', '"', "'"), array('&lt;', '&quot;', ''), $ancre);
 148                                 $texte = "<a href='#$ancre' name='ajax_ancre' style='display:none;'>anchor</a>" . $texte;
 149                         }
 150                 } else {
 151                         include_spip('inc/headers');
 152                         http_status(400);
 153                         $texte = _L('signature ajax bloc incorrecte');
 154                 }
 155                 ajax_retour($texte, false);
 156
 157                 return true; // on a fini le hit
 158         }
 159
 160         return false;
 161 }
 162
 163 // au 1er appel, traite les formulaires dynamiques charger/verifier/traiter
 164 // au 2e se sachant 2e, retourne les messages et erreurs stockes au 1er
 165 // Le 1er renvoie True si il faut faire exit a la sortie
 166
 167 // http://code.spip.net/@traiter_formulaires_dynamiques
 168 function traiter_formulaires_dynamiques($get = false) {
 169         static $post = array();
 170         static $done = false;
 171
 172         if ($get) {
 173                 return $post;
 174         }
 175         if ($done) {
 176                 return false;
 177         }
 178         $done = true;
 179
 180         if (!($form = _request('formulaire_action')
 181                 and $args = _request('formulaire_action_args'))
 182         ) {
 183                 return false;
 184         } // le hit peut continuer normalement
 185
 186         // verifier que le post est licite (du meme auteur ou d'une session anonyme)
 187         $sign = _request('formulaire_action_sign');
 188         if (!empty($GLOBALS['visiteur_session']['id_auteur'])) {
 189                 if (empty($sign)) {
 190                         spip_log("signature ajax form incorrecte : $form (formulaire non signe mais on a une session)", 'formulaires' . _LOG_ERREUR);
 191                         return false;
 192                 }
 193                 $securiser_action = charger_fonction('securiser_action', 'inc');
 194                 $secu = $securiser_action($form, $args, '', -1);
 195                 if ($sign !== $secu['hash']) {
 196                         spip_log("signature ajax form incorrecte : $form (formulaire signe mais ne correspond pas a la session)", 'formulaires' . _LOG_ERREUR);
 197                         return false;
 198                 }
 199         }
 200         else {
 201                 if (!empty($sign)) {
 202                         spip_log("signature ajax form incorrecte : $form (formulaire signe mais pas de session)", 'formulaires' . _LOG_ERREUR);
 203                         return false;
 204                 }
 205         }
 206
 207         include_spip('inc/filtres');
 208         if (($args = decoder_contexte_ajax($args, $form)) === false) {
 209                 spip_log("signature ajax form incorrecte : $form (encodage corrompu)", 'formulaires' . _LOG_ERREUR);
 210
 211                 return false; // continuons le hit comme si de rien etait
 212         } else {
 213                 include_spip('inc/lang');
 214                 // sauvegarder la lang en cours
 215                 $old_lang = $GLOBALS['spip_lang'];
 216                 // changer la langue avec celle qui a cours dans le formulaire
 217                 // on la depile de $args car c'est un argument implicite masque
 218                 changer_langue(array_shift($args));
 219
 220
 221                 // inclure mes_fonctions et autres filtres avant verifier/traiter
 222                 include_spip('public/parametrer');
 223                 // ainsi que l'API SQL bien utile dans verifier/traiter
 224                 include_spip('base/abstract_sql');
 225
 226                 /**
 227                  * Pipeline exécuté lors de la soumission d'un formulaire,
 228                  * mais avant l'appel de la fonction de vérification.
 229                  */
 230                 pipeline(
 231                         'formulaire_receptionner',
 232                         array(
 233                                 'args' => array('form' => $form, 'args' => $args),
 234                                 'data' => null,
 235                         )
 236                 );
 237
 238                 $verifier = charger_fonction("verifier", "formulaires/$form/", true);
 239                 $post["erreurs_$form"] = pipeline(
 240                         'formulaire_verifier',
 241                         array(
 242                                 'args' => array('form' => $form, 'args' => $args),
 243                                 'data' => $verifier ? call_user_func_array($verifier, $args) : array()
 244                         )
 245                 );
 246                 // prise en charge CVT multi etape si besoin
 247                 if (_request('cvtm_prev_post')) {
 248                         include_spip('inc/cvt_multietapes');
 249                         $post["erreurs_$form"] = cvtmulti_formulaire_verifier_etapes(
 250                                 array('form' => $form, 'args' => $args),
 251                                 $post["erreurs_$form"]
 252                         );
 253                 }
 254
 255                 // accessibilite : si des erreurs mais pas de message general l'ajouter
 256                 if (count($post["erreurs_$form"]) and !isset($post["erreurs_$form"]['message_erreur'])) {
 257                         $post["erreurs_$form"]['message_erreur'] = singulier_ou_pluriel(count($post["erreurs_$form"]),
 258                                 'avis_1_erreur_saisie', 'avis_nb_erreurs_saisie');
 259                 }
 260
 261                 // si on ne demandait qu'une verif json
 262                 if (_request('formulaire_action_verifier_json')) {
 263                         include_spip('inc/json');
 264                         include_spip('inc/actions');
 265                         ajax_retour(json_encode($post["erreurs_$form"]), 'text/plain');
 266
 267                         return true; // on a fini le hit
 268                 }
 269                 $retour = "";
 270                 if ((count($post["erreurs_$form"]) == 0)) {
 271                         $rev = "";
 272                         if ($traiter = charger_fonction("traiter", "formulaires/$form/", true)) {
 273                                 $rev = call_user_func_array($traiter, $args);
 274                         }
 275
 276                         $rev = pipeline(
 277                                 'formulaire_traiter',
 278                                 array(
 279                                         'args' => array('form' => $form, 'args' => $args),
 280                                         'data' => $rev
 281                                 )
 282                         );
 283                         // le retour de traiter est
 284                         // un tableau explicite ('editable'=>$editable,'message_ok'=>$message,'redirect'=>$redirect,'id_xx'=>$id_xx)
 285                         // il permet le pipelinage, en particulier
 286                         // en y passant l'id de l'objet cree/modifie
 287                         // si message_erreur est present, on considere que le traitement a echoue
 288                         $post["message_ok_$form"] = '';
 289                         // on peut avoir message_ok et message_erreur
 290                         if (isset($rev['message_ok'])) {
 291                                 $post["message_ok_$form"] = $rev['message_ok'];
 292                         }
 293
 294                         // verifier si traiter n'a pas echoue avec une erreur :
 295                         if (isset($rev['message_erreur'])) {
 296                                 $post["erreurs_$form"]["message_erreur"] = $rev['message_erreur'];
 297                                 // si il y a une erreur on ne redirige pas
 298                         } else {
 299                                 // sinon faire ce qu'il faut :
 300                                 if (isset($rev['editable'])) {
 301                                         $post["editable_$form"] = $rev['editable'];
 302                                 }
 303                                 // si une redirection est demandee, appeler redirigae_formulaire qui choisira
 304                                 // le bon mode de redirection (302 et on ne revient pas ici, ou javascript et on continue)
 305                                 if (isset($rev['redirect']) and $rev['redirect']) {
 306                                         include_spip('inc/headers');
 307                                         list($masque, $message) = redirige_formulaire($rev['redirect'], '', 'ajaxform');
 308                                         $post["message_ok_$form"] .= $message;
 309                                         $retour .= $masque;
 310                                 }
 311                         }
 312                 }
 313                 // si le formulaire a ete soumis en ajax, on le renvoie direct !
 314                 if (_request('var_ajax')) {
 315                         if (find_in_path('formulaire_.php', 'balise/', true)) {
 316                                 include_spip('inc/actions');
 317                                 include_spip('public/assembler');
 318                                 array_unshift($args, $form);
 319                                 $retour .= inclure_balise_dynamique(call_user_func_array('balise_formulaire__dyn', $args), false);
 320                                 // on ajoute un br en display none en tete du retour ajax pour regler un bug dans IE6/7
 321                                 // sans cela le formulaire n'est pas actif apres le hit ajax
 322                                 // la classe ajax-form-is-ok sert a s'assurer que le retour ajax s'est bien passe
 323                                 $retour = "<br class='bugajaxie ajax-form-is-ok' style='display:none;'/>" . $retour;
 324                                 ajax_retour($retour, false);
 325
 326                                 return true; // on a fini le hit
 327                         }
 328                 }
 329                 // restaurer la lang en cours
 330                 changer_langue($old_lang);
 331         }
 332
 333         return false; // le hit peut continuer normalement
 334 }