Report de r20476 : Ferme #2960 : comparer le nom du cookie avant remplacement du prefixe pour determiner httponly
Report de r20477 : ferme #2877 : r19544 avait mal interprete le test sur le define, qui sert a interdire l'utilisation de CONVERT ou PBM, pas a l'autoriser
Report de r20478 : Ferme #2912 : ne pas casser un critere {annee=2013} sur une table avec un champ année
+ notice PHP potentielle
Report de r20481 : Ferme #2953 : puce dans le plan de site
Report de r20486 : profiler les boucles dans tmp/profiler.log si leur temps de calcul depasse un certain seuil (a fixer avec define('_BOUCLE_PROFILER', 5000); par exemple pour 5 secondes).report de http://zone.spip.org/trac/spip-zone/changeset/72578
Report de r20488 : report de [20483] : si un login n'existe pas, plutot que de piocher les infos sur un autre login (au risque de fournir la photo d'un auteur sans lien lorsqu'on se trompe dans son email), inventer une reponse credible a base de secret_du_site(), de la date du jour, et du login
Report de r20489 : ajouter un debug utile dans log/mysql-slow.log ; avec {{{define('_DEBUG_SLOW_QUERIES', true);}}} dans mes_options
report de [20487]
Report de r20494 : Articles virtuels : faire une redirection propre via la fonction redirige_par_entetes(), qui explicite le status 302 par defaut (il etait indetermine dans le code precedent).
La constante _STATUS_REDIRECTION_VIRTUEL permet par ailleurs de personaliser ce status en le passant en 301 systématique par exemple.
Report de r20509 : ferme #2913 : zone clicable sur l'icone "Modifier ce.." lorsque la configuration des urls est activée
Report de r20512 : Ferme #2910 : quand l'url courante est profonde (url arbo) les redirections relatives étaient ambigues.
Il se trouve que le Location était "souvent" bien interprété sur les forums mais c'était un coup de chance et foirait dans d'autres cas. Le lien http fournit dans le HTML était lui toujours mal interprété.
On lève l'ambiguité en transformant en url absolue dès que la profondeur courante est supérieure à la normale et que l'url de redirection est relative. Il faudrait généraliser ce passage en absolu en branche 3.1
les redirections sont toujours passées en url absolue, cela evite tout risque d'ambiguité
typographie/fr.php : ne pas ajouter d'insécable devant : si ce : est suivi de : (cas des adresses ipv6)
prive/formulaires/login.html : ajout de la variable lang dans le lien vers le formulaire de rappel du mot de passe. report de r20525
prive/spip_pass.html : suite de r20525. conserver la lang pour les noscript.
prive/squelettes/inclure/head.html : pour les grands joueurs (!) qui surchargent index.php voire déposent un index.html à la racine de leur spip, ne pas casser l'affichage du plan de site dans le privé. (http://forum.spip.net/fr_251729.html)
ecrire/inc/filtres.php, prive/formulaires/editer_auteur.php : une nouvelle fonction pour empêcher un xss sur le nom (signature) d'un auteur, visiteur... + chaîne de langue correspondante.
langues (ecrire)
Ferme #2774 : supprimer_tags et couper avec un peu plus de precaution pour ne pas confondre la simple succession de < et > dans un texte avec un tag html a supprimer (ou comentaire html a supprimer)
Report de c20540 : Inscription d'un auteur : le commentaire dit "Si mode inconnu laisser faire, c'est une extension non std", mais passer quand meme par une autorisation, qui par défaut sera a false (puisque l'auteur est non connu, donc non identifié, il n'a aucun droit par defaut).

Il suffit que autoriser("inscrireauteur","xxx") renvoie true pour permettre l'inscription d'un auteur avec le statut xxx
La fonction «concat» de sql peut avoir plus de 2 arguments. Indiquons cela aussi à SQLite.