Sécurisation paramètres

_inventory.html

@@ -35,8 +35,10 @@
 {{else}}
 	{{if $_GET.prop == -1}}
 		{{:assign selected_prop=null}}
-	{{else}}
+	{{elseif $_GET.prop == 1 || $_GET.prop == 0}}
 		{{:assign selected_prop=$_GET.prop}}
+	{{else}}
+		{{:assign selected_prop=$user_filters.stock_prop}}
 	{{/if}}
 	{{:assign var="user_filters.stock_prop" value=$selected_prop}}
 	{{:assign var="saved_filters.%s"|args:$logged_user.id value=$user_filters}}

config.html

@@ -25,7 +25,7 @@
 {{#foreach from=$directions key="direction" item="item"}}
 
 	{{* types de mouvements qui ne peuvent être supprimés *}}
-	{{#load type="movement" where="$$.direction='%s'"|args:$direction group="$$.operation"}}
+	{{#load type="movement" where="$$.direction=:direction" :direction=$direction group="$$.operation"}}
 		{{:assign var="locked." value=$operation}}
 	{{/load}}
 

equipment_history.html

@@ -15,7 +15,7 @@
 {{:assign equipment_key=$_GET.key|trim}}
 {{#load key=$equipment_key assign="equipment"}}
 {{else}}
-	{{:error message="Pas de matériel avec la clé %s"|args:$equipment_key}}
+	{{:error message="Aucun matériel avec la clé %s"|args:$equipment_key}}
 {{/load}}
 
 {{#load type="category" where="key = :cle" :cle=$equipment.category assign="category"}}
@@ -40,8 +40,10 @@
 {{else}}
 	{{if $_GET.prop == -1}}
 		{{:assign selected_prop=null}}
-	{{else}}
+	{{elseif $_GET.prop == 1 || $_GET.prop == 0}}
 		{{:assign selected_prop=$_GET.prop}}
+	{{else}}
+		{{:assign selected_prop=$user_filters.eqpmt_hist_prop}}
 	{{/if}}
 	{{:assign var="user_filters.eqpmt_hist_prop value=$selected_prop}}
 	{{:assign var="saved_filters.%s"|args:$logged_user.id value=$user_filters}}

global_history.html

@@ -32,11 +32,12 @@
 
 {{* condition de filtrage *}}
 {{if $selected_category != null}}
+	{{:assign cat_key=$selected_category|quote_sql}}
 	{{:assign cat_condition="(SELECT key
 			FROM @TABLE AS cat
 			WHERE cat.key = (SELECT $$.category
 								FROM @TABLE AS mat
-								WHERE mat.key = @TABLE.$$.equipment)) = '%s'"|args:$selected_category}}
+								WHERE mat.key = @TABLE.$$.equipment)) = %s"|args:$cat_key}}
 {{else}}
 	{{:assign cat_condition=1}}
 {{/if}}
@@ -47,8 +48,10 @@
 {{else}}
 	{{if $_GET.prop == -1}}
 		{{:assign selected_prop=null}}
-	{{else}}
+	{{elseif $_GET.prop == 1 || $_GET.prop == 0}}
 		{{:assign selected_prop=$_GET.prop}}
+	{{else}}
+		{{:assign selected_prop=$user_filters.hist_prop}}
 	{{/if}}
 	{{:assign var="user_filters.hist_prop" value=$selected_prop}}
 	{{:assign var="saved_filters.%s"|args:$logged_user.id value=$user_filters}}

module.ini

@@ -1,5 +1,5 @@
 name="Gestion des matériels"
-description="Permet de gérer un inventaire de matériels, ainsi que de suivre les prêts.\nversion 0.71.2"
+description="Permet de gérer un inventaire de matériels, ainsi que de suivre les prêts.\nversion 0.71.3"
 author="Jean-Christophe Engel"
 author_url="https://gitea.zaclys.com/lesanges"
 home_button=true

movements/copy_movement.html

@@ -6,9 +6,13 @@
 	Dupliquer un mouvement
 	paramètres :
 	- key : clé du mouvement à dupliquer
-	- prop = 1 si matériel appartient à l'asso
+	- prop = 1 si matériel appartient à l'asso, 0 sinon
 *}}
 
+{{if $_GET.prop == null || $_GET.prop|intval != 0 &&  $_GET.prop|intval != 1}}
+	{{:error message="Opération interdite"}}
+{{/if}}
+
 {{* récupérer les infos du mouvement à dupliquer *}}
 {{#load key=$_GET.key assign="mvt_new"}}
 {{else}}
@@ -49,8 +53,8 @@
 {{if $mvt_new.direction == "input"}}
 	{{* types d'entrées *}}
 	{{#foreach from=$config.input_nature key=key}}
-		{{if $_GET.prop && $type == "définitif" ||
+		{{if $_GET.prop|intval == 1 && $type == "définitif" ||
-			 ! $_GET.prop && $type == "temporaire"
+			 $_GET.prop|intval == 0 && $type == "temporaire"
 		}}
 			{{:assign var="input_labels.%s"|args:$key value=$label}}
 		{{/if}}
@@ -58,7 +62,7 @@
 {{else}}
 	{{* types de sorties *}}
 	{{#foreach from=$config.output_nature key=key}}
-		{{if $_GET.prop && $type != "retour"}}
+		{{if $_GET.prop|intval == 1 && $type != "retour"}}
 			{{:assign var="output_labels.%s"|args:$key value=$label}}
 		{{/if}}
 	{{/foreach}}

movements/input_equipment.html

@@ -20,6 +20,8 @@
 
 {{* récupérer les informations du matériel et de sa catégorie *}}
 {{#load key=$_GET.key assign="equipment"}}
+{{else}}
+	{{:error message="Aucun matériel avec la clé « %s »"|args:$_GET.key}}
 {{/load}}
 {{#load where="key = :key" :key=$equipment.category assign="category"}}
 {{/load}}

movements/output_equipment.html

@@ -5,7 +5,7 @@
 {{*
 	paramètres :
 	- key		: clé du matériel à sortir
-	- output_type : loan (prêt), rent (location), rien (cas général)
+	- output_type : (OBSOLÈTE ?) loan (prêt), rent (location), rien (cas général)
 *}}
 
 {{* récupérer la config des entrées/sorties *}}
@@ -25,11 +25,16 @@
 		{{:assign var="output_labels.%s"|args:$key value=$label}}
 	{{elseif $type == 'temporaire' && $_GET.output_type == "rent" && $fee == 'payant'}}
 		{{:assign var="output_labels.%s"|args:$key value=$label}}
+	{{else}}
+		{{:error message="Opération interdite"}}
 	{{/if}}
 {{/foreach}}
 
 {{* récupérer les infos du matériel *}}
-{{#load key=$_GET.key assign="equipment"}}{{/load}}
+{{#load key=$_GET.key assign="equipment"}}
+{{else}}
+	{{:error message="Aucun matériel avec la clé %s"|args:$_GET.key}}
+{{/load}}
 
 {{* Traiter l'envoi du formulaire *}}
 {{#form on="save"}}
@@ -72,7 +77,7 @@
 	{{:assign insere=false}}
 
 	{{* lister tous les mouvements du matériel *}}
-	{{#load type="movement" where="$$.equipment = '%s'"|args:$_GET.key assign="mvt" order="$$.date ASC"}}
+	{{#load type="movement" where="$$.equipment = :eqpmt_key" :eqpmt_key=$_GET.key assign="mvt" order="$$.date ASC"}}
 		{{* traiter le nouveau mouvement *}}
 		{{if ! $insere && $mvt.date > $_POST.date|parse_date}}
 			{{:assign insere=true}}

storage/delete_storage.html

@@ -22,7 +22,10 @@
 {{:admin_header title="Lieux de stockage" custom_css="../style.css" current="module_equipment"}}
 {{:form_errors}}
 
-{{#load key=$_GET.key limit="1" assign="store"}}{{/load}}
+{{#load key=$_GET.key limit="1" assign="store"}}
+{{else}}
+	{{:error message="Ce lieu de stockage n'existe pas !"}}
+{{/load}}
 {{:delete_form
 	legend="Supprimer %s ?"|args:$store.name
 	warning="Confirmer la suppression de « %s »"|args:$store.name

storage/modify_storage.html

@@ -5,7 +5,7 @@
 {{* récupérer les infos du lieu de stockage *}}
 {{#load key=$_GET.key assign="storage"}}
 {{else}}
-	{{:error message="Lieu de stockage introuvable"}}
+	{{:error message="Ce lieu de stockage n'existe pas"}}
 {{/load}}
 
 {{* Traiter l'envoi du formulaire *}}