Dotclear

source: admin/comments.php @ 3121:65e65154dadf

Revision 3121:65e65154dadf, 8.3 KB checked in by franck <carnet.franck.paul@…>, 10 years ago (diff)

Fix minor XSS, thanks Tim Coen for report

RevLine 
[0]1<?php
2# -- BEGIN LICENSE BLOCK ---------------------------------------
3#
4# This file is part of Dotclear 2.
5#
[1179]6# Copyright (c) 2003-2013 Olivier Meunier & Association Dotclear
[0]7# Licensed under the GPL version 2.0 license.
8# See LICENSE file or
9# http://www.gnu.org/licenses/old-licenses/gpl-2.0.html
10#
11# -- END LICENSE BLOCK -----------------------------------------
12
13require dirname(__FILE__).'/../inc/admin/prepend.php';
14
15dcPage::check('usage,contentadmin');
16
[1052]17if (!empty($_POST['delete_all_spam']))
18{
19     try {
20          $core->blog->delJunkComments();
[1054]21          $_SESSION['comments_del_spam'] = true;
[2852]22          $core->adminurl->redirect("admin.comments");
[1052]23     } catch (Exception $e) {
24          $core->error->add($e->getMessage());
25     }
26}
27
[0]28# Creating filter combo boxes
29# Filter form we'll put in html_block
[1719]30$status_combo = array_merge(
31     array('-' => ''),
32     dcAdminCombos::getCommentStatusescombo()
[0]33);
[1719]34
[0]35
36$type_combo = array(
37'-' => '',
[1480]38__('Comment') => 'co',
39__('Trackback') => 'tb'
[0]40);
41
42$sortby_combo = array(
43__('Date') => 'comment_dt',
44__('Entry title') => 'post_title',
45__('Author') => 'comment_author',
46__('Status') => 'comment_status'
47);
48
49$order_combo = array(
50__('Descending') => 'desc',
51__('Ascending') => 'asc'
52);
53
54/* Get comments
55-------------------------------------------------------- */
[2888]56$author = isset($_GET['author']) ? $_GET['author'] : '';
57$status = isset($_GET['status']) ?      $_GET['status'] : '';
58$type = !empty($_GET['type']) ?         $_GET['type'] : '';
59$sortby = !empty($_GET['sortby']) ?     $_GET['sortby'] : 'comment_dt';
60$order = !empty($_GET['order']) ?       $_GET['order'] : 'desc';
61$ip = !empty($_GET['ip']) ?             $_GET['ip'] : '';
[0]62
63$with_spam = $author || $status || $type || $sortby != 'comment_dt' || $order != 'desc' || $ip;
64
65$show_filters = false;
66
[2888]67$page = !empty($_GET['page']) ? max(1,(integer) $_GET['page']) : 1;
[0]68$nb_per_page =  30;
69
[2888]70if (!empty($_GET['nb']) && (integer) $_GET['nb'] > 0) {
71     if ($nb_per_page != $_GET['nb']) {
[0]72          $show_filters = true;
73     }
[2888]74     $nb_per_page = (integer) $_GET['nb'];
[0]75}
76
77$params['limit'] = array((($page-1)*$nb_per_page),$nb_per_page);
78$params['no_content'] = true;
79
80# Author filter
81if ($author !== '') {
82     $params['q_author'] = $author;
83     $show_filters = true;
[796]84} else {
85     $author='';
[0]86}
87
88# - Type filter
89if ($type == 'tb' || $type == 'co') {
90     $params['comment_trackback'] = ($type == 'tb');
91     $show_filters = true;
[796]92} else {
93     $type='';
[0]94}
95
96# - Status filter
97if ($status !== '' && in_array($status,$status_combo)) {
98     $params['comment_status'] = $status;
99     $show_filters = true;
100} elseif (!$with_spam) {
101     $params['comment_status_not'] = -2;
[796]102     $status='';
103} else {
104     $status='';
[0]105}
106
107# - IP filter
108if ($ip) {
109     $params['comment_ip'] = $ip;
110     $show_filters = true;
111}
112
[3044]113// Add some sort order if spams displayed
114if ($with_spam || ($status == -2)) {
115     $sortby_combo[__('IP')] = 'comment_ip';
116     $sortby_combo[__('Spam filter')] = 'comment_spam_filter';
117}
118
[0]119# Sortby and order filter
120if ($sortby !== '' && in_array($sortby,$sortby_combo)) {
121     if ($order !== '' && in_array($order,$order_combo)) {
122          $params['order'] = $sortby.' '.$order;
[796]123     } else {
124          $order = 'desc';
[0]125     }
[2566]126
[0]127     if ($sortby != 'comment_dt' || $order != 'desc') {
128          $show_filters = true;
129     }
[796]130} else {
131     $sortby = 'comment_dt';
132     $order = 'desc';
[0]133}
134
135# Actions combo box
136$combo_action = array();
[476]137$default = '';
[1905]138if ($core->auth->check('delete,contentadmin',$core->blog->id) && $status == -2)
[0]139{
[1905]140     $default = 'delete';
[0]141}
142
[2888]143$comments_actions_page = new dcCommentsActionsPage($core,$core->adminurl->get("admin.comments"));
[1905]144
[2498]145if ($comments_actions_page->process()) {
146     return;
147}
[0]148
149/* Get comments
150-------------------------------------------------------- */
151try {
152     $comments = $core->blog->getComments($params);
153     $counter = $core->blog->getComments($params,true);
154     $comment_list = new adminCommentList($core,$comments,$counter->f(0));
155} catch (Exception $e) {
156     $core->error->add($e->getMessage());
157}
158
159/* DISPLAY
160-------------------------------------------------------- */
[2136]161
[2145]162$form_filter_title = __('Show filters and display options');
[2135]163$starting_script  = dcPage::jsLoad('js/_comments.js');
164$starting_script .= dcPage::jsLoad('js/filter-controls.js');
165$starting_script .=
166     '<script type="text/javascript">'."\n".
167     "//<![CDATA["."\n".
168     dcPage::jsVar('dotclear.msg.show_filters', $show_filters ? 'true':'false')."\n".
169     dcPage::jsVar('dotclear.msg.filter_posts_list',$form_filter_title)."\n".
[2145]170     dcPage::jsVar('dotclear.msg.cancel_the_filter',__('Cancel filters and display options'))."\n".
[2135]171     "//]]>".
172     "</script>";
173
[1358]174dcPage::open(__('Comments and trackbacks'),$starting_script,
175     dcPage::breadcrumb(
176          array(
177               html::escapeHTML($core->blog->name) => '',
[2166]178               __('Comments and trackbacks') => ''
[1358]179          ))
180);
[2888]181if (!empty($_GET['upd'])) {
[1905]182     dcPage::success(__('Selected comments have been successfully updated.'));
[2888]183} elseif (!empty($_GET['del'])) {
[1905]184     dcPage::success(__('Selected comments have been successfully deleted.'));
185}
[0]186
187if (!$core->error->flag())
188{
[1054]189     if (isset($_SESSION['comments_del_spam'])) {
[1052]190          dcPage::message(__('Spam comments have been successfully deleted.'));
[1054]191          unset($_SESSION['comments_del_spam']);
[1052]192     }
[2566]193
[1143]194     $spam_count = $core->blog->getComments(array('comment_status'=>-2),true)->f(0);
195     if ($spam_count > 0) {
[2566]196
197          echo
[2720]198               '<form action="'.$core->adminurl->get("admin.comments").'" method="post" class="fieldset">';
[1052]199
[1143]200          if (!$with_spam || ($status != -2)) {
[1049]201               if ($spam_count == 1) {
[1424]202                    echo '<p>'.sprintf(__('You have one spam comment.'),'<strong>'.$spam_count.'</strong>').' '.
[2745]203                    '<a href="'.$core->adminurl->get("admin.comments",array('status' => -2)).'">'.__('Show it.').'</a></p>';
[1049]204               } elseif ($spam_count > 1) {
205                    echo '<p>'.sprintf(__('You have %s spam comments.'),'<strong>'.$spam_count.'</strong>').' '.
[2745]206                    '<a href="'.$core->adminurl->get("admin.comments",array('status' => -2)).'">'.__('Show them.').'</a></p>';
[1049]207               }
[1143]208          }
[2566]209
[1143]210          echo
[3053]211               '<p>'.
[1143]212               $core->formNonce().
213               '<input name="delete_all_spam" class="delete" type="submit" value="'.__('Delete all spams').'" /></p>';
[1051]214
[1143]215          # --BEHAVIOR-- adminCommentsSpamForm
216          $core->callBehavior('adminCommentsSpamForm',$core);
[1051]217
[1143]218          echo '</form>';
[1424]219     }
[2566]220
[1420]221     echo
[2720]222     '<form action="'.$core->adminurl->get("admin.comments").'" method="get" id="filters-form">'.
[1514]223     '<h3 class="hidden">'.__('Filter comments and trackbacks list').'</h3>'.
[1420]224     '<div class="table">'.
225
226     '<div class="cell">'.
[1514]227     '<h4>'.__('Filters').'</h4>'.
[1420]228     '<p><label for="type" class="ib">'.__('Type:').'</label> '.
229     form::combo('type',$type_combo,$type).'</p> '.
230     '<p><label for="status" class="ib">'.__('Status:').'</label> '.
231     form::combo('status',$status_combo,$status).'</p>'.
232     '</div>'.
[2566]233
[1514]234     '<div class="cell filters-sibling-cell">'.
[1420]235     '<p><label for="author" class="ib">'.__('Author:').'</label> '.
236     form::field('author',20,255,html::escapeHTML($author)).'</p>'.
237     '<p><label for="ip" class="ib">'.__('IP address:').'</label> '.
238     form::field('ip',20,39,html::escapeHTML($ip)).'</p>'.
239     '</div>'.
[2566]240
[1420]241     '<div class="cell filters-options">'.
[1514]242     '<h4>'.__('Display options').'</h4>'.
[1420]243     '<p><label for="sortby" class="ib">'.__('Order by:').'</label> '.
244     form::combo('sortby',$sortby_combo,$sortby).'</p>'.
245     '<p><label for="order" class="ib">'.__('Sort:').'</label> '.
246     form::combo('order',$order_combo,$order).'</p>'.
247     '<p><span class="label ib">Afficher</span> <label for="nb" class="classic">'.
248     form::field('nb',3,3,$nb_per_page).' '.
249     __('comments per page').'</label></p>'.
250     '</div>'.
[2566]251
[1420]252     '</div>'.
[1514]253     '<p><input type="submit" value="'.__('Apply filters and display options').'" />'.
[1424]254     '<br class="clear" /></p>'. //Opera sucks
[1420]255     '</form>';
[2566]256
[0]257     # Show comments
258     $comment_list->display($page,$nb_per_page,
[2720]259     '<form action="'.$core->adminurl->get("admin.comments").'" method="post" id="form-comments">'.
[2566]260
[0]261     '%s'.
[2566]262
[0]263     '<div class="two-cols">'.
264     '<p class="col checkboxes-helpers"></p>'.
[2566]265
[96]266     '<p class="col right"><label for="action" class="classic">'.__('Selected comments action:').'</label> '.
[1905]267     form::combo('action',$comments_actions_page->getCombo(),$default,'','','','title="'.__('Actions').'"').
[0]268     $core->formNonce().
269     '<input type="submit" value="'.__('ok').'" /></p>'.
270     form::hidden(array('type'),$type).
271     form::hidden(array('sortby'),$sortby).
272     form::hidden(array('order'),$order).
[3121]273     form::hidden(array('author'),html::escapeHTML(preg_replace('/%/','%%',$author))).
[0]274     form::hidden(array('status'),$status).
275     form::hidden(array('ip'),preg_replace('/%/','%%',$ip)).
276     form::hidden(array('page'),$page).
277     form::hidden(array('nb'),$nb_per_page).
278     '</div>'.
[2566]279
[2135]280     '</form>',
[3044]281     $show_filters,
282     ($with_spam || ($status == -2))
[0]283     );
284}
285
286dcPage::helpBlock('core_comments');
287dcPage::close();
Note: See TracBrowser for help on using the repository browser.

Sites map