Admin emails : bouton « Voir » ouvre le contenu dans une nouvelle fenêtre #37

New Issue

2026-05-13T22:09:54Z

cedricAbonnel commented

2026-05-13 22:09:54 +00:00

Contexte

Dans /admin/emails, la colonne « Contenu » affiche un bouton « Voir » qui déplie le corps de l'email inline dans la ligne du tableau via un élément HTML <details>/<summary>. Seul le content_text (texte brut) est affiché.

Comportement souhaité

Cliquer sur « Voir » ouvre une nouvelle fenêtre/onglet avec le contenu complet de l'email envoyé (version HTML si disponible, texte sinon).

Analyse technique

Structure de données

La table journal_smtp contient :

content_html — corps HTML complet (inséré par src/mailer.php:100)
content_text — version texte brut (strip_tags du HTML)

La requête actuelle dans public/index.php:2313-2318 sélectionne content_text mais omet content_html.

Contrainte CSP

La CSP applique script-src 'self' — tout script inline est bloqué. L'implémentation doit donc reposer sur un simple lien <a target="_blank">, sans JS inline ni window.open().

Implémentation

1. Nouvelle route `GET /admin/email-preview/{id}`

Dans public/index.php, ajouter une route protégée par isAdmin() :

// Route : /admin/email-preview/{id}
if (preg_match('#^/admin/email-preview/(\d+)$#', $path, $m)) {
    if (!isAdmin()) { http_response_code(403); exit; }
    $row = dbPdo()->prepare(
        'SELECT subject, to_email, created_at, content_html, content_text FROM journal_smtp WHERE id = :id'
    );
    $row->execute([':id' => (int)$m[1]]);
    $email = $row->fetch(PDO::FETCH_ASSOC);
    if (!$email) { http_response_code(404); exit; }

    header('Content-Type: text/html; charset=UTF-8');
    // Afficher le HTML natif si disponible, sinon texte brut dans un <pre>
    if (!empty($email['content_html'])) {
        echo $email['content_html'];
    } else {
        echo '<pre>' . htmlspecialchars((string)$email['content_text']) . '</pre>';
    }
    exit;
}

2. Modifier le bouton dans `templates/admin.php`

Remplacer le bloc <details> actuel (lignes 833–846) par :

<td>
    <a href="/admin/email-preview/<?= (int)$em['id'] ?>"
       target="_blank" rel="noopener"
       class="btn btn-outline-secondary btn-sm">Voir</a>
</td>

3. Supprimer `content_text` de la requête admin

Dans public/index.php:2314, content_text n'est plus utilisé côté template — retirer ce champ de la SELECT (ou le garder pour compatibilité, au choix).

Fichiers concernés

public/index.php — ajout de la route /admin/email-preview/{id} + nettoyage de la SELECT
templates/admin.php — remplacement du <details> par un lien target="_blank"

Sécurité

Le content_html est généré exclusivement par l'application (magic links, vérification de commentaires, etc.) — pas de contenu utilisateur direct. Le risque XSS est faible, mais la page de preview étant isolée dans un onglet séparé sans accès aux cookies de session admin (elle n'inclut pas le layout), l'impact est contenu.

Migré depuis varlog#52

## Contexte Dans `/admin/emails`, la colonne « Contenu » affiche un bouton « Voir » qui déplie le corps de l'email **inline dans la ligne du tableau** via un élément HTML `<details>/<summary>`. Seul le `content_text` (texte brut) est affiché. ## Comportement souhaité Cliquer sur « Voir » ouvre une **nouvelle fenêtre/onglet** avec le contenu complet de l'email envoyé (version HTML si disponible, texte sinon). --- ## Analyse technique ### Structure de données La table `journal_smtp` contient : - `content_html` — corps HTML complet (inséré par `src/mailer.php:100`) - `content_text` — version texte brut (strip_tags du HTML) La requête actuelle dans `public/index.php:2313-2318` sélectionne `content_text` mais **omet `content_html`**. ### Contrainte CSP La CSP applique `script-src 'self'` — tout script inline est bloqué. L'implémentation doit donc reposer sur un simple lien `<a target="_blank">`, sans JS inline ni `window.open()`. --- ## Implémentation ### 1. Nouvelle route `GET /admin/email-preview/{id}` Dans `public/index.php`, ajouter une route protégée par `isAdmin()` : ```php // Route : /admin/email-preview/{id} if (preg_match('#^/admin/email-preview/(\d+)$#', $path, $m)) { if (!isAdmin()) { http_response_code(403); exit; } $row = dbPdo()->prepare( 'SELECT subject, to_email, created_at, content_html, content_text FROM journal_smtp WHERE id = :id' ); $row->execute([':id' => (int)$m[1]]); $email = $row->fetch(PDO::FETCH_ASSOC); if (!$email) { http_response_code(404); exit; } header('Content-Type: text/html; charset=UTF-8'); // Afficher le HTML natif si disponible, sinon texte brut dans un <pre> if (!empty($email['content_html'])) { echo $email['content_html']; } else { echo '<pre>' . htmlspecialchars((string)$email['content_text']) . '</pre>'; } exit; } ``` ### 2. Modifier le bouton dans `templates/admin.php` Remplacer le bloc `<details>` actuel (lignes 833–846) par : ```php <td> <a href="/admin/email-preview/<?= (int)$em['id'] ?>" target="_blank" rel="noopener" class="btn btn-outline-secondary btn-sm">Voir</a> </td> ``` ### 3. Supprimer `content_text` de la requête admin Dans `public/index.php:2314`, `content_text` n'est plus utilisé côté template — retirer ce champ de la `SELECT` (ou le garder pour compatibilité, au choix). --- ## Fichiers concernés - `public/index.php` — ajout de la route `/admin/email-preview/{id}` + nettoyage de la SELECT - `templates/admin.php` — remplacement du `<details>` par un lien `target="_blank"` ## Sécurité Le `content_html` est généré exclusivement par l'application (magic links, vérification de commentaires, etc.) — pas de contenu utilisateur direct. Le risque XSS est faible, mais la page de preview étant isolée dans un onglet séparé sans accès aux cookies de session admin (elle n'inclut pas le layout), l'impact est contenu. --- *Migré depuis [varlog#52](https://git.abonnel.fr/cedricAbonnel/varlog/issues/52)*

cedricAbonnel referenced this issue from cedricAbonnel/varlog

2026-05-13 22:09:54 +00:00

Admin emails : bouton « Voir » ouvre le contenu dans une nouvelle fenêtre #52

cedricAbonnel closed this issue

2026-05-16 08:00:20 +00:00

cedricAbonnel referenced this issue from a commit

2026-05-16 12:06:31 +00:00

feat : RSS content, feed catégorie, cookie commentaires, flux erreurs, email preview (v1.6.17)

Sign in to join this conversation.