Sécurité en PHP

// Validation d'une adresse email
$email = filter_input(INPUT_POST, 'email', FILTER_VALIDATE_EMAIL);

if (!$email) {
    echo "L'adresse email est invalide.";
}

// Validation et nettoyage d'une URL
$url = filter_input(INPUT_POST, 'site_web', FILTER_VALIDATE_URL);

// Validation d'un nombre entier avec des options
$age = filter_input(INPUT_POST, 'age', FILTER_VALIDATE_INT, [
    'options' => [
        'min_range' => 1,
        'max_range' => 120
    ]
]);

// Nettoyage d'une chaîne de caractères
$commentaire = filter_input(INPUT_POST, 'commentaire', FILTER_SANITIZE_STRING);

// Assainissement personnalisé avec des expressions régulières
$username = filter_input(INPUT_POST, 'username', FILTER_VALIDATE_REGEXP, [
    'options' => [
        'regexp' => '/^[a-zA-Z0-9_]{3,20}$/'
    ]
]);

// Code vulnérable
$username = $_POST['username'];
$password = $_POST['password'];

$query = "SELECT * FROM users WHERE username='$username' AND password='$password'";

// Un attaquant peut entrer: admin' --
// La requête devient alors:
// SELECT * FROM users WHERE username='admin' -- AND password='peu importe'
// Tout ce qui suit -- est considéré comme un commentaire en SQL

// Insertion sécurisée de données dans une base
$stmt = $conn->prepare("INSERT INTO users (username, email, created_at) VALUES (:username, :email, :created_at)");

// Liaison des paramètres
$stmt->bindParam(':username', $username);
$stmt->bindParam(':email', $email);
$stmt->bindParam(':created_at', date('Y-m-d H:i:s'));

// Exécution de la requête
$stmt->execute();

// Alternative avec un tableau de valeurs
$stmt = $conn->prepare("SELECT * FROM posts WHERE category = ? AND published = ?");
$stmt->execute([$category, true]);

// htmlspecialchars - Convertit les caractères spéciaux en entités HTML
$texte_sécurisé = htmlspecialchars($input, ENT_QUOTES, 'UTF-8');

// htmlentities - Convertit tous les caractères qui ont des entités HTML
$texte_sécurisé = htmlentities($input, ENT_QUOTES, 'UTF-8');

// strip_tags - Supprime les balises HTML et PHP
$texte_sans_balises = strip_tags($input);

// strip_tags avec balises autorisées
$texte_formaté = strip_tags($input, '<p><br><strong><em>');

// Content Security Policy (CSP)
header("Content-Security-Policy: default-src 'self';");

// X-XSS-Protection (pour les navigateurs plus anciens)
header("X-XSS-Protection: 1; mode=block");

// X-Content-Type-Options
header("X-Content-Type-Options: nosniff");

// Référrer-Policy
header("Referrer-Policy: strict-origin-when-cross-origin");

// Site vulnérable qui change le mot de passe sans vérification
// http://banque.exemple.com/change_password.php?nouveau_mdp=HackedPass123

// L'attaquant peut créer une page avec ce code :
<img src="http://banque.exemple.com/change_password.php?nouveau_mdp=HackedPass123" width="0" height="0">

// Si l'utilisateur visite cette page malveillante alors qu'il est connecté à sa banque,
// son mot de passe sera changé sans son consentement.

<?php
session_start();

// Vérification de la présence et validité du token CSRF
if (!isset($_POST['csrf_token']) || 
    !isset($_SESSION['csrf_token']) || 
    $_POST['csrf_token'] !== $_SESSION['csrf_token']) {
    
    // Token invalide ou manquant
    die('Erreur de validation CSRF. Veuillez réessayer.');
}

// Régénérer le token après chaque utilisation (protection contre les attaques de rejeu)
$_SESSION['csrf_token'] = bin2hex(random_bytes(32));

// Traitement du formulaire...
?>

<?php
session_start();

// Génération d'un token avec horodatage
function generateCsrfToken() {
    $token = bin2hex(random_bytes(32));
    $_SESSION['csrf_token'] = $token;
    $_SESSION['csrf_token_time'] = time();
    return $token;
}

// Vérification du token avec expiration (30 minutes)
function validateCsrfToken($token, $expiration = 1800) {
    if (
        !isset($_SESSION['csrf_token']) || 
        !isset($_SESSION['csrf_token_time']) || 
        $token !== $_SESSION[return false;
    }
    
    // Vérification de l'expiration
    if (time() - $_SESSION[$expiration) {
        // Token expiré
        unset($_SESSION[unset($_SESSION[return false;
    }
    
    return true;
}
?>

// À l'inscription : hashage du mot de passe
$hash = password_hash($_POST['password'], PASSWORD_DEFAULT);
// Stocker $hash dans la base de données

// À la connexion : vérification du mot de passe
// $hash_from_db est récupéré depuis la base de données pour l'utilisateur
if (password_verify($_POST[$hash_from_db)) {
    // Mot de passe correct
    session_start();
    $_SESSION['user_id'] = $user_id;
    
    // Vérifiez si un rehashage est nécessaire (si l'algorithme a été mis à jour)
    if (password_needs_rehash($hash_from_db, PASSWORD_DEFAULT)) {
        $newHash = password_hash($_POST[PASSWORD_DEFAULT);
        // Mettre à jour le hash dans la base de données
    }
} else {
    // Mot de passe incorrect
    echo "Nom d'utilisateur ou mot de passe incorrect";
}

<?php
// Définir les paramètres de cookie de session
ini_set('session.cookie_httponly', 1);  // Empêche l'accès JavaScript au cookie
ini_set('session.cookie_secure', 1);    // Cookies uniquement sur HTTPS
ini_set('session.cookie_samesite', 'Lax');  // Protection CSRF
ini_set('session.use_strict_mode', 1);   // Empêche d'utiliser des ID non créés par PHP
ini_set('session.gc_maxlifetime', 1800);  // 30 minutes d'inactivité maximum

// Démarrer la session
session_start([
    'cookie_lifetime' => 0,          // Session détruite à la fermeture du navigateur
    'read_and_close'  => true,    // Option lecture seule (si vous n'écrivez pas dans la session)
]);
?>

<?php
session_start();

// Lors d'une connexion réussie
if ($login_successful) {
    // Régénérer l'ID de session pour empêcher la fixation
    session_regenerate_id(true); // true pour supprimer l'ancienne session
    
    // Stockez les informations utilisateur dans la session
    $_SESSION['user_id'] = $user_id;
    $_SESSION['user_ip'] = $_SERVER['REMOTE_ADDR'];
    $_SESSION['user_agent'] = $_SERVER['HTTP_USER_AGENT'];
    $_SESSION['last_activity'] = time();
}
?>

<?php
session_start();

// Définir le délai d'expiration (30 minutes)
$expiration_time = 30 * 60; // en secondes

// Vérifier si la session contient un horodatage de dernière activité
if (isset($_SESSION['last_activity'])) {
    // Calculer le temps écoulé
    $elapsed_time = time() - $_SESSION['last_activity'];
    
    // Vérifier si le délai d'expiration est dépassé
    if ($elapsed_time > $expiration_time) {
        // Détruire la session
        session_unset();
        session_destroy();
        header('Location: login.php?expired=1');
        exit();
    }
}

// Mettre à jour l'horodatage de dernière activité
$_SESSION['last_activity'] = time();
?>

<?php
if (isset($_FILES['file'])) {
    // Définir les types de fichiers autorisés
    $allowed_types = ['image/jpeg', 'image/png', 'image/gif'];
    
    // Taille maximale (5 MB)
    $max_size = 5 * 1024 * 1024;
    
    // Vérifier le type MIME du fichier
    $file_type = $_FILES['file']['type'];
    if (!in_array($file_type, $allowed_types)) {
        die('Type de fichier non autorisé.');
    }
    
    // Vérifier la taille du fichier
    if ($_FILES['file']['size'] > $max_size) {
        die('Fichier trop volumineux.');
    }
    
    // Générer un nom de fichier unique
    $new_file_name = md5(uniqid(rand(), true)) . '.' . 
                     pathinfo($_FILES['file']['name'], PATHINFO_EXTENSION);
    
    // Chemin de destination (hors de la racine web)
    $upload_dir = __DIR__ . '/../uploads/';
    $destination = $upload_dir . $new_file_name;
    
    // Déplacer le fichier vers sa destination
    if (move_uploaded_file($_FILES['file']['tmp_name'], $destination)) {
        echo 'Fichier uploadé avec succès.';
    } else {
        die('Erreur lors de l\'upload du fichier.');
    }
    
    // Validation supplémentaire pour les images
    if (strpos($file_type, 'image/') === 0) {
        // Vérifier que c'est bien une image valide
        $image_info = getimagesize($destination);
        if ($image_info === false) {
            // Le fichier n'est pas une image valide
            unlink($destination); // Supprimer le fichier
            die('Le fichier n\'est pas une image valide.');
        }
    }
}
?>

# Désactiver l'exécution des scripts dans ce répertoire
<FilesMatch "\.(?:php|pl|py|cgi|asp|js)$">
    Order Deny,Allow
    Deny from all
</FilesMatch>

# Autoriser seulement certains types de fichiers
<FilesMatch "\.(?:jpg|jpeg|png|gif|pdf|doc|docx|xls|xlsx)$">
    Order Allow,Deny
    Allow from all
</FilesMatch>

# Protection supplémentaire
Options -Indexes -ExecCGI
AddHandler cgi-script .php .pl .py .jsp .asp .htm .shtml .sh .cgi
php_flag engine off

<?php
// IMPORTANT: À utiliser UNIQUEMENT dans un environnement de développement ou sécurisé
// Ne pas déployer en production

$secure_settings = [
    // Sécurité générale
    'expose_php' => ['value' => false, 'risk' => 'medium'],
    'display_errors' => ['value' => false, 'risk' => 'medium', 'environment' => 'production'],
    'log_errors' => ['value' => true, 'risk' => 'medium'],
    
    // Sécurité des inclusions
    'allow_url_fopen' => ['value' => false, 'risk' => 'allow_url_include' => ['value' => false, 'critical'],
    
    // Sécurité des sessions
    'session.use_strict_mode' => ['value' => 'risk' => 'session.use_only_cookies' => ['value' => 'risk' => 'session.cookie_httponly' => ['value' => 'risk' => 'session.cookie_secure' => ['value' => 'risk' => 'high'],
    'session.cookie_samesite' => ['value' => 'risk' => 'medium']
];

$environment = 'development'; // Changez en 'production' pour la production

echo "<h2>Vérification de la configuration PHP</h2>";
echo "<table border='1' cellpadding='5'>";
echo "<tr><th>Directive</th><th>Valeur actuelle</th><th>Recommandation</th><th>Niveau de risque</th><th>Statut</th></tr>";

foreach ($secure_settings as $directive => $config) {
    // Ignorer les directives spécifiques à un environnement
    if (isset($config['environment']) && $config[$environment) {
        continue;
    }
    
    $current_value = ini_get($directive);
    $status = '❌';
    
    // Convertir les valeurs string "0"/"1" en booléens pour la comparaison
    if ($current_value === '0') $current_value = false;
    if ($current_value === '1') $current_value = true;
    
    // Comparaison avec la valeur recommandée
    if (is_bool($config[if (($config[true && ($current_value === true || $current_value === '1' || $current_value === 'On')) || 
            ($config[false && ($current_value === false || $current_value === $current_value === 'Off' || $current_value === ''))) {
            $status = '✅';
        }
    } else if ($current_value == $config[$status = '✅';
    }
    
    // Afficher la ligne dans le tableau
    echo "<tr>";
    echo "<td>" . htmlspecialchars($directive) . "</td>";
    echo "<td>" . htmlspecialchars(is_bool($current_value) ? ($current_value ? 'true' : 'false') : $current_value) . "</td>";
    echo "<td>" . htmlspecialchars(is_bool($config[$config['true' : 'false') : $config["</td>";
    echo "<td style='color: " . ($config['risk'] === 'critical' ? 'red' : ($config['risk'] === 'high' ? 'orangered' : 'orange')) . "'>" . ucfirst($config['risk']) . "</td>";
    echo "<td>" . $status . "</td>";
    echo "</tr>";
}

echo "</table>";
?>