Update doc

Author: hlecorche

doc/cookbook/sort.md

@@ -60,6 +60,10 @@ class MyCrudController extends AbstractCrudController
 }
 ```
 
+> **_SÉCURITÉ:_** Les valeurs de l'option `alias_sort` sont injectées telles quelles (sans échappement) dans la
+> clause `ORDER BY` de la requête générée. Elles doivent donc être des valeurs écrites en dur dans le code et ne
+> jamais être construites à partir de données provenant de l'utilisateur.
+
 Il est aussi possible de définir un tri par défaut personnalisé grâce à la méthode `setDefaultPersonalizedSort` :
 
 ```php
@@ -92,3 +96,8 @@ class MyCrudController extends AbstractCrudController
     //...
 }
 ```
+
+> **_SÉCURITÉ:_** Contrairement au tri sur une colonne (validé par rapport aux colonnes déclarées), les alias passés
+> à `setDefaultPersonalizedSort` sont injectés tels quels (sans échappement ni validation) dans la clause `ORDER BY`
+> de la requête générée. Ils doivent donc être des valeurs écrites en dur dans le code et ne jamais être construits
+> à partir de données provenant de l'utilisateur, sous peine d'injection SQL.

doc/crud.md

@@ -168,6 +168,12 @@ Explications de getCrudOptions():
     * **displayed_by_default**: Booléen qui définit si on affiche (ou non) cette colonne par défaut **Défaut: True**
     * **alias_search**: Alias Doctrine utilisé lors de la recherche DQL/SQL. Si pas défini, utilise l'alias Doctrine défini par l'option `alias`
     * **alias_sort**: Alias Doctrine (chaine de caractères ou tableau de chaines de caractères) utilisé(s) lors du tri sur cette colonne. Si pas défini, utilise l'alias Doctrine défini par l'option `alias`
+
+> **_SÉCURITÉ:_** Les options `alias`, `alias_search` et `alias_sort` sont injectées telles quelles (sans échappement)
+> dans la requête DQL/SQL générée. Elles doivent donc être des valeurs écrites en dur dans le code et ne jamais être
+> construites à partir de données provenant de l'utilisateur (requête HTTP, base de données, etc.), sous peine
+> d'injection SQL.
+
 * Nous donnons la requête Doctrine (sous forme d'objet QueryBuilder ou d'une fonction anonyme) avec la méthode setQueryBuilder() Le moteur du CRUD modifiera automatiquement cette requête, en fonction des actions demandées par l'utilisateur
 * Nous définissions les paramètres du nombre de pages avec la méthode `setMaxPerPage()`. Cette méthode prend 2 paramètres :
     * Un tableau contenant les différents nombres possibles du nombre de résultats par page. **Requis**

doc/references/searcher.md

@@ -10,6 +10,10 @@
 | alias_search | Alias Doctrine à utiliser pour la recherche | Non | Valeur définie dans la déclaration de la colonne du CRUD associée |
 | label | Label | Non | Valeur définie dans la déclaration de la colonne du CRUD associée |
 
+> **_SÉCURITÉ:_** L'option `alias_search` est injectée telle quelle (sans échappement) dans la requête DQL/SQL
+> générée par les filtres. Elle doit donc être une valeur écrite en dur dans le code et ne jamais être construite
+> à partir de données provenant de l'utilisateur, sous peine d'injection SQL.
+
 
 ## Définition des options