SPIP

SPIP 4.4

b_b — 2025-02-14T13:30:11Z

Cette branche LTS [1] va bénéficier d'un support étendu jusqu'en juillet 2028.

Sommaire

Compatibilité PHP 7.4 à 8.5

SPIP 4.4 nécessite PHP 7.4 minimum, et fonctionne jusqu'à PHP 8.5.
Il nécessite les extensions PHP : sodium, Zlib, Zip et Phar.

Changements apportés par SPIP 4.4

Les changements les plus marquants sont le fait que SPIP n'envoie plus de mot de passe en clair dans les mails d'inscription et de rappel de mot de passe.

Côté technique on peut noter que les dossiers ecrire, prive, squelettes-dist ainsi que l'écran de sécurité s'installent avec Composer. Cela ne change rien pour les personnes qui utilisent spip_loader. À noter aussi, l'introduction des balises #LAYOUT_PRIVE, #TRAD et #URL_DOCUMENT_FICHIER.

On peut également noter une série d'optimisations pour les filtres d'images.

La balise #LAYOUT_PRIVE remplace #LARGEUR_ECRAN et permet d'utiliser de nouvelles dispositions pour les pages de l'espace privé :

#LAYOUT_PRIVE{fluide}, le contenu central s'adapte selon la présence ou pas de contenu dans #extra et #navigation.

#LAYOUT_PRIVE{pleine-largeur}

#LAYOUT_PRIVE{complements-gauche}

#LAYOUT_PRIVE{complements-droite}

#LAYOUT_PRIVE{complements-bas}

#LAYOUT_PRIVE{complements-bas-inverse}

La balise #TRAD permet d'éviter les écriture du style #VAL{module:cle}|_T, exemple #TRAD{module:cle, #ARRAY{param, val, ..}, #ARRAY{option, val..}}.

Répertoires

- Le répertoire vendor/ se complète, avec l'arrivée de premières librairies spip-league, qui vont faire une première passerelle vers des éléments du futur SPIP 5.0
- À ce titre, un répertoire config/spip est maintenant présent également

Cette version apporte également d'autres améliorations ou corrections de bugs.

Sécurité

Nettoyer certaines entrées auteurs sur le formulaire d'édition d'auteur (évite de se retrouver dans des logs, si des logs verbeux sont activés)
Mise à jour de la liste des bots & ajout de antennapod (lecteur RSS) comme bot licite

Ajouts

Ne pas envoyer de mot de passe en clair, mais plutôt des liens pour définir son mot de passe
copie_locale() passe une clé action au pipeline post_edition
Chaînes de langue supplémentaire pour les listes d'articles
Balise #LAYOUT_PRIVE
Balise #TRAD{module:cle, #ARRAY{param, val, ..}, #ARRAY{option, val..}}
Balise #MIME_TYPE calculée
Balise #URL_DOCUMENT_FICHIER renvoyant toujours le fichier d'un document, ce qui permet quand on le souhaite d'utiliser #URL_DOCUMENT pour renvoyer vers une page web. Les modèles de document sont mis à jour pour utiliser cette balise.
Les actions ajouter_lien et supprimer_lien peuvent gérer un qualificatif
Pipeline ajouter_menus_args, en complément au pipeline ajouter_menus, qui transmet les arguments de definir_barre_boutons()
Purger les variables de var_nullify du contexte dans traiter_appels_inclusions_ajax
Balise #PARAM pour récupérer les paramètres du container de services
Le filtre |affdate accepte un timestamp en entrée
Fonction _image_extensions_logos() et pipeline image_extensions_logos
Commande cli pour purger les images cache trop anciennes (cache-gd2 et cache-vignettes)
Filtre image_oriente_selon_exif() pour réorienter automatiquement une image selon son exif

Changements

Les dossiers ecrire, prive, squelettes-dist s'installent avec Composer
L'écran de sécurité s'installe avec Composer
Mise à jour des chaînes de langues depuis trad.spip.net
Utiliser le pipeline compter_contributions_auteur dans la boite d'info d'un auteur
Possibilité de personnaliser les chaînes de langue singulier et pluriel du titre de toutes les listes d'objets
Nouveaux layouts pour le privé (#LAYOUT_PRIVE) : defaut, fluide, pleine-largeur, complements-droite, complements-bas, complements-bas-inverse
Les valeurs d'environnement explicitement vidées en ajax passent par var_nullify pour en être totalement expurgées
Permettre de trier les comptes visiteurs "nouveau" par date d'inscription-relance
Ajouter l'heure de publication à côté de la date
Utiliser des variables CSS et propriétés logiques dans l'espace privé pour éviter la compilation des fichiers CSS
La page de contrôle des tâches utilise le layout complement-gauche
Utilisation de image_extensions_logos() à la place de $GLOBALS['formats_logos']
Les filtres d'images tel que image_recadre réorientent l'image selon l'exif d'orientation

Corrections

Dans l'espace privé, éviter une scrollbar horizontale dans certaines configurations de systèmes d'exploitation.
Aligner le contenu de la bande en_lignes avec celui du bandeau
Meilleur affichage des listes d'objets sur petit écran
Pas de marge basse sur les derniers éléments des réponses
Charger l'autoloader dans le fichier prive.php
Éviter un warning PHP si le fichier du logo n'est pas présent
Suivre medias sur inc_vignette_dist qui attend un paramètre medias
Rétablir le masquage des documents vus dans le bloc des documents
Ne plus déclarer de z-index sur les colonnes qui sont déjà en flex
Réparer la rotation des images avec convert
Pouvoir scroller après avoir quitté le mode plein écran via la touche
Utiliser pour IMAGETYPE_SVG une valeur qui ne risque pas une collision avec un futur ajout de format image (19 a été pris par IMAGETYPE_AVIF entre temps)
Correction d'une erreur fatale sur l'appel à phraser_champs_interieurs()
Utiliser fpassthru() pour livrer directement les fichiers et éviter un memory limit plutôt que readfile() qui passe par un chargement en mémoire du fichier
Requêter les fichiers distants avec STREAM_CRYPTO_METHOD_TLS_CLIENT
Remplacer les balises tt obsolètes par code
Les emails des auteurs sont masqués par défaut
Transmettre au pipeline compter_contributions_auteur le nombre de contribution sur les articles
Passer l'url à l'item de langue pass_reset_url
Pour le formulaire générique d'institution d'objet, tester l'autorisation publierdans en utilisant le parent déclaré par l'API de parenté
Dans le formulaire générique d'institution d'un objet, utiliser le même jeu de test pour l'affichage du statut publie dans charger et pour la validation dans verifier
Pouvoir supprimer l'image de l'écran de connexion
Pouvoir modifier logo principal quand il y a un logo de survol
Inclusion manquante dans certains contextes ajax pour bigup
Vérifier l'existence de exif_read_data()
Éviter des warnings sur image_oriente_selon_exif() en absence d'image
Optimisation des filtres image_aplatir(), image_renforcement(), image_flou(), image_sepia(), image_flip_vertical(), image_flip_horizontal(), image_nb(), image_gamma() & image_rotation()
Correction du paramètre crop de image_rotation()
Message de retour des formulaires en div plutot qu'en p
Le mimetype audio/x-m4a est un alias de audio/mp4a-latm
Appel à la globale $formats_logos remplacée par _image_extensions_acceptees_en_entree()
Corriger la duplication (plugin Duplicator par exemple) de logo si le dossier tmp/upload n'existe pas
Affichage du sélecteur de rôles de documents (avec le plugin en question)
Affichage des aperçus dans les modèles emb
Correction du chemin des plugins de la librairie mediaelements et suppression du fallback Flash
Ajouter le pipeline afficher_config_objet qui manquait sur les pages mots et groupes_mots.
Dédoublonner test de statut dans une requête SQL.
Support de la branche 4.4 de SPIP dans le référentiel des plugins
Invalider le cache (même pour les bots) lorsqu'une URL permanente est ajoutée

Dépréciations

Inclusion de fichier PHP via ou
Balise fermante
Balise #LARGEUR_ECRAN pour les squelettes du privé à remplacer par #LAYOUT_PRIVE
À partir de SPIP 5, l'appel des chaînes de langues en squelette sera sensible à la casse de la déclaration, il n'y aura plus de conversion automatique en minuscule
Fonction interne phraser_boucle_placeholder() à remplacer par phraser_placeholder_memoriser() ou phraser_placeholder_reinjecter()
Fonction interne public_generer_boucle_placeholder() à remplacer par public_placeholder_generer()
Les fichiers de langue peuplant une $GLOBALS sont dépréciés ; renvoyer directement un tableau
Constante obsolète _DIR_IMG_PACK
Globales $traiter_math, $tex_server, fonctions produire_image_math(), traiter_math() et replace_math(), utiliser le plugin mathjax à la place
Modifier la globale $formats_logos est déprécié : utiliser le pipeline image_extensions_logos
Appeler la globale $formats_logos est déprécié, utiliser la fonction _images_extensions_logos()
Dépréciation de la constante _DIR_RESTREINT_ABS
Filtre |image_typo, et fonctions rtl_mb_ord(), rtl_reverse(), rtl_visuel(), printWordWrapped(), produire_image_typo(), installer le plugin Images typographiques

Retraits

Fonctions verif_butineur(), editer_texte_recolle() et environnement _texte_trop_long des formulaires (inutilisé — servait pour IE)
Prise en compte de l'environnement de formulaire _texte_trop_long (servait pour IE)
Un fichier de langue obsolète et non traduit.

Plugins compatibles

Comme pour la version précédente, la plupart des plugins sont déjà compatibles avec SPIP 4.4, ce qui facilitera les mises à jour.
Voir : Effectuer une mise à jour

[1] https://fr.wikipedia.org/wiki/Long-term_support

Les outils utilisés pour le développement

bricebou, b_b, James, Maïeul, Matthieu Marcillaud, placido, tofulm — 2025-01-14T06:58:03Z

L'équipe de maintenance utilise ces outils pour maintenir et développer SPIP. Cet article résume succinctement le rôle des outils et les liens de documentation.

Nom de l'outil	Rôle	Documentation spécifique à la communauté SPIP

Développement côté serveur ou back-end
PHP	Langage dans lequel SPIP est écrit côté serveur
PHPdoc	Commentaire du code
Composer	Installer les bibliothèques de code (library) dont le projet principal a besoin
Qualité de code
Easy Coding Standard	Automatiser le respect des régles de codages	Utiliser ECS
Rector	Corriger du code historique pour le rendre plus durable	Utiliser Rector
PSR	Bonne pratiques de codage	Conventions
PHPUnit	Tester le code
PHPStan	Analyser le code
Refactoring Guru	Inspiration pour transformer le code procédural historique en code POO et pour gagner en robustesse
The Twelve-Factor App	Inspiration : une méthodologie pour concevoir des logiciels en tant que service

Développement côté navigateur ou front-end
Javascript	Langage pour l'affichage dynamique de fragments de page (front-end)
jQuery	Bibliothèque longtemps restée comme référence (en voie de migration)
npm + Bun	Installer des modules ou bibliothèques de code (library)
Qualité de code
bun:test	Tester le code
biomejs	Normaliser le code (linter)

Versionnage
Git	Suivi de version de code	Consulter un livre en français
Gitlab	Plateforme de développement
Sémantique	Comment fonctionnent les versions de SPIP et de ses dépendances
Conventionnel commit	Des messages des commits signifiants, lisibles pour l'humain	Voir aussi Écrire un message de commit
Changelog	Permettre de voir précisément quels changements notables ont été faits entre chaque publication (release) d'un projet	Voir aussi Tenir un CHANGELOG

Nous développons et utilisons aussi nos propres outils :

- spip-releases
- spip-league/ecs
- spip-league/rector
- spip-league/sdk

_MAJ_NOTIF_EMAILS

b_b, Pierre KUHN — 2024-07-26T13:12:29Z

Par défaut, SPIP 4.3 envoie un email à tou⋅tes les webmestres du site quand une mise à jour de SPIP est disponible.

Sujet : [SPIP-Contrib] La mise à jour 4.3.0 de SPIP est disponible Bonjour, Le site https://contrib.spip.net peut être mis à jour vers une nouvelle version de SPIP. Pour des questions de sécurité, il est important de garder votre site à jour.

La constante _MAJ_NOTIF_EMAILS permet de personnaliser la liste des adresses auxquelles seront envoyés ces emails. Elle peut être personnalisée dans votre fichier config/mes_options.php (voir l'article qui lui est consacré).

Par exemple, si on souhaite désactiver ces notifications (ce qui n'est pas une bonne idée) :

// désactiver les notifications de mise à jour define('_MAJ_NOTIF_EMAILS', '');

mais aussi

// n'envoyer les notifications de mise à jour qu'aux adresses séparées par une virgule define('_MAJ_NOTIF_EMAILS', 'contact@example.com,test@example.com');

SPIP 4.3

b_b, jack, Maïeul, Matthieu Marcillaud — 2024-07-26T10:40:37Z

Compatibilité PHP 7.4 à 8.3

SPIP 4.3 nécessite PHP 7.4 minimum, et fonctionne jusqu'à PHP 8.3.
Il nécessite les extensions PHP : sodium, Zlib, Zip et Phar.

Changements apportés par SPIP 4.3

Les changements les plus importants concernent

le bandeau de l'espace privé plus condensé,
le formulaire de changement de statut des objets éditoriaux revu,
les filtres d'image plus rapides,
une écriture plus inclusive de certaines formulations,
l'envoi d'une notification par mail lorsqu'une mise à jour de SPIP est disponible, ainsi qu'une indication visuelle plus grande dans l'espace privé,

Le bandeau de l'espace privé prend moins de place en hauteur

Le formulaire de changement de statut est revu

Présentation initiale du formulaire de changement de statut

Formulaire de changement de statut déplié

Un message avertissant d'une nouvelle version disponible

Cette version apporte également d'autres améliorations ou corrections de bugs.

Ajouts

Afficher un encart pour signaler les nouvelles versions dans toutes les pages de l'espace privé pour les webmestres, et un bouton pointant vers spip_loader(voir Utiliser spip_loader) s'il est présent
Notifier par email les webmestres du site lorsque SPIP dispose d'une mise à jour (désactivable avec la constante _MAJ_NOTIF_EMAILS, voir la documentation)
Améliorer l'ergonomie du formulaire instituer (changement de statut d'un objet éditorial, voir plus haut)
Le formulaire d'identité du site permet de configurer la timezone utilisée
Nouveau filtre |balise_img_svg pour insérer une image ou un SVG inline sans savoir d'avance le format
Ajouter une option à find_all_in_path() pour renvoyer tous les fichiers répondant à un pattern
Filtre |propre qui applique propre() & safehtml() (cela permet de dés-échapper le code de confiance des modèles)
Débugueur : Afficher le nombre d'occurrences et temps total des inclusions de squelettes
La constante _DEBUG_MINIPRES définie à true active l'affichage d'un debug visible lorsqu'une erreur de type Minipage survient
Pipeline get_spip_doc pour manipuler le résultat natif de la fonction get_spip_doc()

Changements

Le bandeau de navigation de l'espace privé est réduit en hauteur (2 lignes au lieu de 3, voir plus haut)
Le menu de création rapide passe en menu déroulant avec des labels explicites (voir plus haut)
Écriture plus inclusive de certaines formulations
Optimisation des boucles avec pagination, en forçant une clause limit automatique dessus
Dans un plugin, si l'attribut logo d'un paquet.xml est absent, et qu'il existe un fichier {prefixe}.svg dans le plugin, il est utilisé comme logo
Les fonctions extraire_balise() et extraire_balises() peuvent gérer des balises imbriquées

Corrections

Améliorer la conformité HTML5
Icône Tâches de fond qui n'évoque pas les bases de données
Refactoring de ecrire_fichier()
Combinaison des critères {pagination} et {limit}
Ne pas conserver un double des fichiers calculés inchangés (#PRODUIRE_FOND)
Mise à jour de la bibliothèque mediaelement en version 7.0.3
Correction de inserer_attribut() sur un cas dérogatoire : les balises (même non autofermante)

Dépréciations

Déprécier les fonctions désuètes de ecrire/inc/presentation
La globale auteur_session (dépréciée depuis SPIP 2.0 !) sera supprimée en SPIP 5.0. Utiliser visiteur_session.
Déprécier la classe .label au profit de .editer-label dans les formulaires

Retrait

Retrait des options d'affichage des icônes dans les préférences

Plugins-dist

Images

Les performances du plugin-dist Filtres Images ont été très nettement optimisées, certains filtres images sont désormais jusqu'à 10 fois plus rapides grâce à l'utilisation des fonctions natives de PHP GD

Un nouveau filtre, |image_oriente_selon_exif pour réorienter automatiquement une image selon son exif
Les filtres d'images tel que |image_recadre réorientent l'image selon l'exif d'orientation
Optimisation des filtres |image_aplatir, |image_renforcement, |image_flou, |image_sepia, |image_flip_vertical, |image_flip_horizontal, |image_nb, |image_gamma, |image_rotation
Correction du paramètre crop de |image_rotation

Plugins compatibles

Dès sa sortie SPIP 4.3 bénéficie d'environ 700 plugins compatibles, ce qui facilitera les mises à jour.
Voir : Effectuer une mise à jour

Fusionner, associer et dissocier des mots-clés

b_b, erational — 2024-01-02T21:24:53Z

Lorsqu'on utilise des mots-clés leur liste a tendance à grossir au fil du temps et il peut être intéressant de faire le ménage.

À partir de SPIP 4.0, il est possible pour les administrateur-trices de fusionner, associer et dissocier des mots-clés. Cela permet de réduire leur nombre en conservant les liens existants.

Avertissement : certaines de ces actions ne sont pas réversibles, il convient donc de les utiliser avec prudence.

- Dans la partie privée, aller sur la page du mot-clé à fusionner
- En bas de page, cliquer sur le lien "Admin. avancée"

- Un formulaire qui permet d'associer, fusionner, dissocier les mots-clés s'affiche

- Comme certaines de ces opération sont irréversibles, une demande de confirmation est affichée avant de lancer l'action :

SPIP 4.2

b_b — 2023-02-23T20:14:39Z

SPIP 4.2 est une version qui suit les versions maintenues de PHP tout en gardant exceptionnellement une compatibilité avec PHP 7.4. C'est aussi un premier pas vers Composer avec l'introduction d'un autoloader à usage interne et l'intégration de dépendances à des librairies PHP via composer.json (notamment les polyfill PHP 8.0, 8.1 et 8.2 ainsi que le polyfill mbstring).

Sommaire

Compatibilité PHP 7.4 à 8.2

SPIP 4.2 nécessite PHP 7.4 minimum, et fonctionne jusqu'à PHP 8.2.
Il nécessite les extensions PHP : sodium, Zlib, Zip et Phar.

Comme pour SPIP 4.1, la compatibilité avec une nouvelle version de PHP a nécessité de nombreuses corrections et adaptations dans le code de SPIP.

Cela concerne essentiellement des dépréciations des appels à utf8_encode, l'utilisation de propriétés de classes inexistantes et des écritures de type "${var}".

Qualité du code

Dans la lignée de SPIP 4.1, nous avons continué à typer certains arguments et retours de fonctions pour détecter au plus tôt certains appels incorrects.

De plus, les quelques classes PHP de SPIP ont été déplacées dans ecrire/src sous le namespace Spip.

Nouvelles fonctionnalités et changements

Parmi celles-ci on peut noter :

une meilleure sécurisation des contenus par l'utilisation de la librairie HTMLPurifier à la place de SafeHTML
la possibilité d'éditer les logos des objets comme les documents, et l'introduction d'une balise #ID_LOGO_ (par exemple #ID_LOGO_ARTICLE) qui retourne l'identifiant du document utilisé pour le logo d'un objet
le support des backticks (`) pour insérer du code dans le contenu éditorial
l'affichage de la langue des utilisateurs sur leur page et la possibilité de l'éditer
la normalisation et l'appel systématique de l'API de notifications lors de la modification des contenus éditoriaux
la possibilité d'alterner le sens de tri des listes qui utilisent le critère tri
l'amélioration du balisage HTML généré pour les blocs de code
le moteur de base de données MySQL n'est plus forcé lors de l'installation, ce qui permet d'installer SPIP sans aucune modification sur un serveur qui utilise InnoDB
la prise en charge de l'utf8 pour le filtre |match
la possibilité de spécifier une jointure quand on utilise la balise #CHAMP_SQL (exemple #CHAMP_SQL{rubrique.titre})
la gestion des images haute densité lors du recadrage et de la réduction
une meilleure gestion de l'affichage des mises à jour dans le pied des pages de l'espace privé
ne plus autoriser un rédacteur ou une rédactrice à refuser ses propres articles
une refonte visuelle des pages d'installation et de rappel de mot de passe

Beaucoup de bugs ont aussi été corrigés, vous pouvez consulter la liste complète dans le fichier CHANGELOG.md.

Liste d'articles avec la possibilité d'alterner le sens de tri

Configuration du redimensionnement des images côté navigateur avant l'upload

Logo d'un article éditable comme un document

La page de rappel de mot passe de spip.net

La page utilise le même fond de couleur ou image d'arrière plan que celle définie pour la page de login.

Plugins

Bigup

possibilité de redimensionner les images côté navigateur, avant l'upload (les dimensions sont configurables depuis l'espace privé)
la prise en charge de la prévisualisation des images Webp et SVG
ajout d'un pipeline bigup_preparer_input_options pour personnaliser finement les options

Compresseur

mise à jour de la librairie CSSTidy en version 2.0.3
correction d'un bug dans la compression des fichiers CSS contenants des écritures raccourcies sur les propriétés padding & margin

Forum

ajout d'icones SVG manquantes sur la page de gestion des forums internes
limiter le nombre d'items à 100 dans les flux RSS produits
suppression du filtre |lignes_longues maintenant géré en css

Medias

permettre d'éditer un logo comme un document
suppression du Sanitizer SVG qui est maintenant dans le plugin SafeHtml
suppression du formulaire FORMULAIRE_CHANGER_FICHIER_DOCUMENT qui n'est plus utilisé par SPIP (la fonctionnalité se trouve directement dans le FORMULAIRE_EDITER_DOCUMENT)
suppression des boutons excédentaires de sens de tri sur certaines listes de documents
ne pas contraindre la taille des images SVG
correction d'un bug de sélection des fichiers lors du chargement de documents depuis tmp/upload
mise à jour de la librairie getID3 en version 1.9.22

Plan

utiliser l'API parents/enfants pour lister les objets enfants de chaque rubrique
feuille de style plus flexible et icones SVG

Porte plume

La barre d'outils utilise backtick et triple backtick pour les blocs de code
ajout d'un événement markItUpEditor.loaded lorsque les barres d'édition sont chargées

Révisions

correction du flux RSS du suivi des révisions

SafeHtml

ajout du Sanitizer SVG auparavant dans le plugin medias
utilisation de la librairie HTMLPurifier à la place de SafeHTML

Sites

filtrer la liste des sites par présence d'une syndication ou pas
suppression du filtre |lignes_longues maintenant géré en css

SVP

accepter des bornes du type, x, x.y, et x.y.z dans un intervalle de compatibilités
amélioration de l'écran de progression d'installation des plugins

TextWheel

support des backticks pour insérer du code dans le contenu éditorial
refactoring de la mise en sécurité des textes

Squelettes dist

afficher le langage des blocs de code en haut à droite
compléter les CSS responsives pour les balises video, canvas, ou svg
afficher les documents joints aux brèves dans l'espace public
distinguer les styles des éléments .spip_code inline et block
permettre d'insérer deux formulaires de recherche dans la même page
éviter que les paginations ne débordent sur petit écran
suppression du filtre |lignes_longues maintenant géré en css
suppression des 3 formulaires inscription, mot_de_passe et oubli, désormais fournis par le core

SPIP 4.1

b_b, James, JLuc, Matthieu Marcillaud — 2022-03-25T13:39:45Z

SPIP 4.1 est avant tout une version qui suit les versions maintenues de PHP (7.4 à 8.1) et met à jour différentes librairies utilisées en interne. Il modifie aussi le système d'authentification des auteurs.

Compatibilité PHP

SPIP 4.1 nécessite PHP 7.4 minimum, et fonctionne jusqu'à PHP 8.1.
Il nécessite les extensions PHP : sodium, Zlib, Zip et Phar.

Rappel : SPIP 4.0 c'est PHP 7.3 à 8.0.

Compatibilité PHP 8.1

Pour la compatibilité PHP 8.1, nous avons du corriger / adapter de nombreuses fonctions.

Cela concerne particulièrement des appels à des fonctions de PHP traitant des chaînes de caractères, si elles reçoivent null au lieu d'une chaîne, pour éviter des deprecated : https://php.watch/versions/8.1/internal-func-non-nullable-null-deprecation

Authentification & Chiffrement

Nous reprenons en l'adaptant le travail de g0uz sur le plugin Chiffrer.

- Cela corrige certains rares cas où la librairie Javascript utilisée jusqu'à présent échouait dans l'identification de l'internaute
- Cela renforce la sécurité en évitant certains types d'attaques.

HTTPS est désormais encore plus fortement conseillé

En effet, SPIP ne cherche plus à chiffrer le mot de passe des auteurs en Javascript depuis le formulaire de login, et le mot de passe arrive donc systématiquement « en clair » à SPIP. Il est donc fortement conseillé d'avoir son site en HTTPS, car HTTPS assure alors la sécurité de la transmission.

En conséquence, la constante _AUTORISER_AUTH_FAIBLE, qui permettait de forcer l'envoi du mot de passe en clair, est supprimée.

Poivre, sel, hash du mot de passe

Le mot de passe d'un auteur est maintenant haché dans SPIP en utilisant un poivre (une clé spécifique pour le site). Par ailleurs, la fonction password_hash de PHP s'occupe de trouver le meilleur algorithme de hachage et de créer un sel dedans. La fonction password_verify de PHP est utilisée pour le vérifier.

Les "aléas" rotatifs des auteurs sont toujours créés, mais ne sont plus utilisés pour saler le mot de passe vu que PHP gère cela très bien. Par contre, l'application supplémentaire d'un poivre est une nouveauté.

Comme avant, à chaque authentification réussie d'un auteur, on enregistre un nouveau hash en base, en recréant un hash avec password_hash : cela applique un nouveau sel dessus donc, et éventuellement PHP en profite pour utiliser un algorithme de hachage plus performant si besoin.

Clés de chiffrement

Pour mener à bien ce poivre, et d'autres actions dans SPIP, des clés de chiffrement sont utilisées et stockées dans config/cles.php. Il y en a 2 par défaut :

secret_des_auth : elle sert à poivrer le mot de passe des auteurs. C'est une nouvelle clé donc.
secret_du_site : elle sert pour moitié à calculer le secret du site. L'autre moitié étant stocké en base dans l'entrée secret_du_site de la table spip_meta. Ce secret du site (combiné) permet de signer et/ou chiffrer certaines parties de SPIP (contextes ajax, actions d'auteurs).

Lorsqu'un webmestre se connecte, les clés sont sauvegardées dans le nouveau champ backup_cles de la table spip_auteurs, en le chiffrant avec le mot de passe en clair de l'auteur.

Ceci permet de restaurer les clés du site si le fichier cles.php a été effacé, lors de l'authentification d'un webmestre.

La classe \Spip\Chiffrer\SpipCles permet de manipuler les clés au besoin.

Password

SPIP fournit deux méthodes qui sont utilisées dans ecrire/auth/spip.php

- \Spip\Chiffrer\Password::verifier($clair, $hash, $key = null): bool
- \Spip\Chiffrer\Password::hacher($clair, $key = null): string

La clé par défaut est celle de secret_des_auth, utilisée pour poivrer.

Chiffrement

Trois méthodes sont aussi fournies pour chiffrer et déchiffrer (chiffrage symétrique) des contenus.
Dedans nous utilisons la librairie Sodium (fournie par défaut dans PHP >= 7.2).

- Chiffrement::chiffrer($message, $key): ?string
- Chiffrement::dechiffrer($encoded, $key): ?string
- Chiffrement::keygen(): string

La méthode keygen produit simplement une clé de chiffrement à la longueur adaptée.

Les méthodes chiffrer() et dechiffrer() seront très lentes si la clé transmise n'a pas la bonne longueur : on considère alors la clé de chiffrement comme étant un mot de passe nécessitant un traitement supplémentaire lourd (avec sodium_crypto_pwhash).

Signature des actions

Les actions sont authentifiées maintenant en utilisant hash_hmac et hash_equals (et les aléas d'auteurs et/ou le secret du site)

Qualité du code

Il y a de quoi progresser sur la qualité du code PHP de SPIP… l'avenir ne peut être que meilleur ;-)

Typage

Ce faisant pour PHP 8.1, nous avons commencé à typer certains arguments et retours de fonctions pour détecter au plus tôt certains appels incorrects.

C'est un changement potentiellement impactant : cela peut créer des erreurs de squelettes là où l'erreur était auparavant plus silencieuse ou tolérée. De même cela pourrait provoquer des erreurs PHP dans des plugins ou des scripts maison sur les appels erronés à ces fonctions.

En assurant la compatibilité avec les nouvelles versions de PHP nous irons forcément vers plus de typage dans le code de SPIP au fur et à mesure des évolutions et factorisations du code source.

La conséquence sera donc que les personnes développant des plugins ou des squelettes devront être plus vigilantes sur les appels effectués d'une part, et d'autre part que nous restreindrons certainement les nouvelles fonctions à des types uniques (éviter les mixed), de même que certaines fonctions déjà existantes verront probablement certains types d'arguments mixtes réduits (éviter qu'un argument puisse recevoir un peu tout comme int | string | array par exemple), de même pour les retours de fonctions.

Au vu du code de SPIP historique ce ne sera pas si évident.

Sucre syntaxique

Nous avons passé l'outil Rector sur le code de SPIP 4.1 avec la configuration PHP 7.4. L'outil permet de transformer la syntaxe du code source PHP en modifiant certains éléments qui peuvent être simplifiés grâce à des écritures plus récentes de PHP. Par exemple utiliser les opérateurs ?? ou ??= lorsque c'est possible (Voir la doc PHP).

C'est toujours ça de pris :-)

Changements d'API sur les URLs et objets

Certaines fonctions d'appels pour calculer ou décoder les URLs sont modifiées.
Les anciennes API sont dépréciées.

Il y a maintenant 2 jeux de fonctions distincts pour générer l'URL d'un objet et pour décoder une URL. Ce nouveau mécanisme permet de définir une fonction pour générer une URL propre pour les #URL_PAGE.

Les nouvelles fonctions sont typées. Dans les explications suivantes, on ne présente que le début des signatures des différentes fonctions modifiées.

Voir la demande d'ajout correspondante pour le détail complet.

Encodage

generer_objet_url (anciennement generer_url_entite)

Cette fonction génère une URL, qui peut être soit pour l'espace public (paramètre $public = true), soit pour l'espace privé ($public = false), soit par défaut ($public = null) retourner une URL pour l'espace dans lequel on se trouve actuellement …

La fonction generer_objet_url() est la fonction de haut niveau, qui va finir par appeler une fonction urls_xxx_generer_url_objet()_dist selon le module d'URL actif.

Note : Pour cette fonction la signature change légèrement.

Dans generer_url_entite() maintenant déprécié :

Le 5^e paramètre $public pouvait valoir true, false, null ou 'string'. Dans le cas d'une chaine, il correspondait à un paramètre "connect".

Ce sont maintenant 2 paramètres séparés pour generer_objet_url :

Le 5^e est ?bool $public = null (donc true, false ou null),
le 6^e est string $connect = ''.

Dans la majorité des cas, cela n'affectera pas les usages et renommer simplement la fonction devrait être suffisant.

- generer_url_entite($id, $objet, ...) + generer_objet_url($id, string $objet, ...)

generer_objet_url_absolue

Génère l'URL absolue vers un objet

- generer_url_entite_absolue($id, $entite, ...) + generer_objet_url_absolue($id = 0, string $entite = '', ...)

Décodage

La fonction de décodage des URLs s'appelle maintenant urls_xxxx_decoder_url_dist() ce qui évite toute confusion avec l'ancienne fonction urls_xxxx_dist().

De plus, pour un module d'URLs qui voudrait être compatible avec les anciennes versions de SPIP et cette nouvelle convention, il suffit de proposer une fonction urls_xxxx_dist() non typée qui fait le routage vers les 2 fonctions urls_xxx_generer_url_objet_dist() et decoder_url() du module.

Objet

generer_objet_lien

Génère un lien (titre cliquable vers url) vers un objet

- generer_lien_entite($id_objet, $objet, ...) + generer_objet_lien(int $id_objet, string $objet, ...)

generer_objet_info

Donner une information sur un objet éditorial. Utilisé entre autres par #INFO_XX

- generer_info_entite($id_objet, $type_objet, $info, ...) + generer_objet_info($id_objet, string $type_objet, string $info, ...)

Les fonctions permettant de définir des calculs spécifiques pour l'obtention d'information sont aussi renommées. Pour l'information calculée 'xxx' : appelé via generer_objet_info(3, 'article', 'xxx') ou #INFO_XXX{article,3}.

Si ces fonctions existent, elles sont utilisées par SPIP dans ce cas :

// xxx spécifiquement sur l'objet 'type' - generer_xxx_{type}($id_objet, $type_objet, ...) + generer_{type}_xxx($id_objet, string $type_objet, ...) // sinon xxx sur un objet quelconque - generer_xxx_entite($id_objet, $type_objet, $row, ...) + generer_objet_xxx($id_objet, string $type_objet, array $row, ...)

L'ancien nommage est déprécié.

Suivant ce principe, la fonction interne à SPIP pour calculer l'introduction a été renommée :

generer_objet_introduction

Génère l'introduction de l'objet (fonction privée à SPIP), utilisé par #INTRODUCTION et #INFO_INTRODUCTION)

- generer_introduction_entite($id_objet, $objet, $ligne_sql, ...) + generer_objet_introduction(int $id_objet, string $objet, array $ligne_sql, ...)

Réécriture de `transmettre` en .api

Pour faciliter et sécuriser partiellement l'envoi de données spécifiques (CSV, JSON) à des auteurs connus de SPIP, l'URL d'api transmettre.api a été mis en place (elle remplace un ancien mécanisme à l'objectif identique qui utilisait un squelette transmettre.html).

L'URL est générée avec la fonction generer_url_api_low_sec() (« low sec » signifiant ici « sécurité basse »). Un jeton fixe est créé pour cette action (avec ses paramètres) pour l'auteur désigné et sera acceptée même si l'auteur est déconnecté (ce qui veut dire que quiconque possède l'URL pourra accéder au contenu renvoyé).

Historiquement cela permet de générer des fichiers non publics (RSS des articles proposés à publication, statistiques du site) qui peuvent être exploités par des outils tierces (agrégateur RSS par exemple).

Également :

la fonction securiser_acces() est renommee en securiser_acces_low_sec() et definie dans inc/acces.
On garde un filtre_securiser_acces_dist() dans inc/filtres pour la compat des vieux squelettes
la fonction param_low_sec() est depreciee

Mises à jour des librairies

Nous avons mis à jour différentes librairies utilisées par SPIP.

Javascript

spip/spip -> Sortable 1.14.0
spip/spip -> jquery Form 4.3.0
spip/spip -> JS Cookie 3.0.1
spip/statistiques -> d3 7.3.0
spip/statistiques -> luxon 2.3.0
spip/plan -> jstree 3.3.12

PHP

spip/compresseur -> css-tidy 2.0.0
spip/medias -> getid3 1.9.21
spip/medias -> svg-sanitizer 0.14.1

Suppression de librairies

Nous avons supprimé jQuery.cookie qui était déprécié depuis SPIP 3.2 au profit de JS Cookie.

Pour rappel si vous n'aviez pas encore adaptés vos utilisations :

$.cookie(key) devient Cookies.get(key) $.cookie(key, value) devient Cookies.set(key, value) $.cookie(key, value, options) devient Cookies.set(key, value, options)

Interface

Les rubriques dans l'espace privé affichent maintenant aussi la liste des articles refusés.

Nettoyages

Nous avons supprimé

#FORMULAIRE_CONFIGURER_METAS

qui était déprécié depuis SPIP 3.0 au profit des formulaires

#FORMULAIRE_CONFIGURER_XX

. Voir la documentation Configurer une fonctionnalité de votre site, ou un plugin à ce sujet.

Quelques adaptations

Dans un squelette, pour avoir la liste des tables des objets éditoriaux, préférer #NULL (qui retourne null) plutôt que #REM (qui retourne une chaîne vide).

- [(#REM|lister_tables_objets_sql)] + [(#NULL|lister_tables_objets_sql)]

Plugins

Archiviste

Le plugin "Archiviste" a été mis à jour pour utiliser les extensions PHP Zip, zlib et Phar, qui sont désormais requises. Ceci nous a permis de supprimer les (très) vielles librairies Pcl* que nous traînions depuis quelques années.

À noter aussi que le plugin est accompagné de tests unitaires écrits avec PHPUnit.

Bigup

Le formulaire de configuration de Bigup est affiché sur la page des options avancées, avec une formulation un peu plus parlante pour le titre du formulaire d'explication.

Compresseur

Mise à jour de la librairie CSSTidy en version 2.0 et correction d'un bug dans la compression des fichiers Javascript sur certains environnements.

Forum

correction d'un bug qui affichait le lien vers la page de contrôle des forums pour les auteurs non autorisés.
normalisation de l'ajout d'un forum en base afin de bien faire passer les informations par les pipeline pre/post insertion
correction d'un bug d'affichage d'icône en langue RTL
correction d'un bug qui permettait d'accéder au forum privé des rédacteurs alors que celui-ci était désactivé dans la configuration
correction d'un bug dans la recherche de message depuis la page de contrôle des forums

Mediabox

amélioration de l'affichage des textes longs dans la légende des modales, avec l'attribut data-box-caption-state valant min ou expanded sur les liens mediabox.
utilisation d'un thème sombre par défaut dans l'espace privé
rétablissement du support des URLs avec fragments à l'aide d'un sélecteur dans l'attribut data-href-popin
ajout du support des attributs data-box-(max|min)-(width|height) et data-box-(width|height) sur les liens mediabox et rétablissement de la compatibilité avec les anciennes classes du type boxInline boxIframe boxWidth-xx boxHeight-xx (documentation : https://contrib.spip.net/MediaBox)
correction d'un bug avec certaines images distantes qui n'étaient pas affichées par la modale (notamment des SVG), car l'image n'a pas de dimension connue

Medias

permettre de personnaliser le comportement en autolien des images en fonction du media, de l'extension, de la taille ou de l'id_document
correction d'un bug dans le modèle d'embed des fichiers CSV
retrait de la librairie obsolète jQuery multifile
mise à jour des librairies SVG Sanitizer et getid3
retrait des préfixes navigateurs dans les CSS du plugin
amélioration UX des boutons dans le bloc des documents d'un objet
correction d'un bug dans le code généré pour les attributs d'une image avec légende
amélioration du modèle utilisé pour l'insertion des images SVG dans le texte d'un objet
correction d'un bug d'affichage de la médiathèque quand un document comporte une très longue URL dans les champs titre ou credit

Plan

Mise à jour de la librairie Jstree en version 3.3.12.

Révisions

Correction d'un bug qui empêchait le fonctionnement du génie d'optimisation des révisions.

Sites

correction d'un bug qui affichait la date en double dans les listes d'articles syndiqués
amélioration des formulaires d'édition de site en utilisant un placeholder dans les champs d'URL (au lieu de les pré-remplir avec http://)
correction d'un bug d'affichage de la liste des sites en colonne latérale de l'espace privé

Statistiques

mise à jour des librairies D3.js, d3-time-format et Luxon.js
correction d'un bug d'affichage des noms des mois dans les statistiques en langue arabe

SVP

correction d'un bug dans le déballage des archives de plugin avec les nouvelles fonctions du plugin Archiviste
amélioration de présentation des cases à cocher dans la liste des plugins
correction d'un bug de sélection des plugins quand la personne faisait "tout cocher" puis "cocher les mises à jour"
correction d'un bug dans l'affichage des messages de retour du formulaire de chargement de plugin
toujours afficher le lien vers la documentation du plugin qu'il soit actif ou non
correction d'un bug qui empêchait d'activer un plugin quand les téléchargements sont interdits

TextWheel

correction d'un bug qui échappait par erreur certains liens automatiques
correction d'un bug de direction d'affichage des puces quand la page contient des bloc de textes de directions différentes

URLs étendues

Pour faire suite aux changements d'API sur les URLs et objets, les fonctions d'URLs ont été reprises pour une écriture plus claire et mieux typée avec 2 points d'entrée pour la partie décodage/encodage.

Voir la demande d'ajout correspondante pour le détail complet.

Squelettes dist

correction d'un bug qui provoquait le débordement des paginations sur petit écran
application du filtre |header_silencieux sur les pages publiques afin de respecter la valeur de la globale spip_header_silencieux
retrait des classes spécifiques à Internet Explorer dans les CSS
correction d'un bug d'affichage des images et SVG sur petit écran

_SVP_PAQUET_MAX_SIZE

b_b — 2016-03-03T20:32:16Z

La constante _SVP_PAQUET_MAX_SIZE définit la taille maximum d'une archive récupérée par le gestionnaire de plugins SVP. Par défaut, cette constante est initialisée à 64 Mo.

Il est possible de personnaliser cette valeur dans votre fichier config/mes_options.php (voir l'article qui lui est consacré).

Exemple :

// permettre la récupération de plugins de plus de 64 Mo define('_SVP_PAQUET_MAX_SIZE', 128*1048576);

_MAX_NB_SESSIONS_OUVERTES

b_b — 2015-12-19T14:53:56Z

La constante _MAX_NB_SESSIONS_OUVERTES permet de personnaliser le nombre maximum de sessions ouvertes simultanément. La valeur par défaut est de 1000. Passé ce seuil, les sessions anonymes de plus de 3 heures sont purgées automatiquement.

Il est possible de personnaliser la valeur de cette constante dans votre fichier config/mes_options.php (voir l'article qui lui est consacré).

Exemple :

// Limiter le nombre de sessions ouvertes à 100 define('_MAX_NB_SESSIONS_OUVERTES',100);

Voir http://core.spip.org/projects/spip/repository/revisions/21596

$GLOBALS['ignore_auth_http']

b_b — 2015-12-19T13:49:46Z

Cette variable globale permet de dissocier l'authentification de SPIP de l'authentification http Basic.

Il est possible de personnaliser la valeur de cette variable dans votre fichier config/mes_options.php (voir l'article qui lui est consacré).

// Pour que SPIP ne s'occupe pas de l'authentification Apache $GLOBALS['ignore_auth_http'] = true;

Plus d'informations : voir SPIP et l'authentification http

SPIP

SPIP 4.4

Sommaire

Compatibilité PHP 7.4 à 8.5

Changements apportés par SPIP 4.4

Sécurité

Ajouts

Changements

Corrections

Dépréciations

Retraits

Plugins compatibles

Les outils utilisés pour le développement

_MAJ_NOTIF_EMAILS

SPIP 4.3

Sommaire

Compatibilité PHP 7.4 à 8.3

Changements apportés par SPIP 4.3

Le bandeau de l'espace privé prend moins de place en hauteur

La création rapide des contenus passe dans un menu dépliant

Le formulaire de changement de statut est revu

Un message avertissant d'une nouvelle version disponible

Ajouts

Changements

Corrections

Dépréciations

Retrait

Plugins-dist

Images

Plugins compatibles

Fusionner, associer et dissocier des mots-clés

SPIP 4.2

Sommaire

Compatibilité PHP 7.4 à 8.2

Qualité du code

Nouvelles fonctionnalités et changements

Plugins

SPIP 4.1

Sommaire

Compatibilité PHP

Compatibilité PHP 8.1

Authentification & Chiffrement

Le formulaire de login

Poivre, sel, hash du mot de passe

Clés de chiffrement

Password

Chiffrement

Signature des actions

Qualité du code

Typage

Sucre syntaxique

Changements d'API sur les URLs et objets

Encodage

Décodage

Objet

Réécriture de transmettre en .api

Mises à jour des librairies

Javascript

PHP

Suppression de librairies

Interface

Nettoyages

Quelques adaptations

Plugins

_SVP_PAQUET_MAX_SIZE

_MAX_NB_SESSIONS_OUVERTES

$GLOBALS['ignore_auth_http']

Réécriture de `transmettre` en .api