Gestion des sessions et authentification

// Créer un cookie de consentement sécurisé
function setConsentCookie($consentements) {
    // Sérialiser les données dans un format sécurisé
    $data = json_encode($consentements);
    
    // Signer les données pour éviter les manipulations
    $signature = hash_hmac('sha256', $data, $_ENV['COOKIE_SECRET']);
    
    // Définir le cookie avec sa signature
    setcookie(
        $data . '.' . $signature,
        [
            time() + 365 * 24 * 3600,
            'path'     => 'secure'   => true,
            'httponly' => true,
            'samesite' => 
        
Création d'un système de connexion/déconnexion
        
Un système d'authentification sécurisé est essentiel pour toute application web qui nécessite des utilisateurs identifiés. Voici les composants clés :

        
Structure de la base de données
        

            
Table des utilisateurs
            

                
CREATE TABLE users (
    id INT AUTO_INCREMENT PRIMARY KEY,
    username VARCHAR(50) NOT NULL UNIQUE,
    email VARCHAR(100) NOT NULL UNIQUE,
    password VARCHAR(255) NOT NULL,  -- Pour le hash
    role VARCHAR(20) NOT NULL DEFAULT 'user',
    is_active BOOLEAN NOT NULL DEFAULT TRUE,
    created_at TIMESTAMP DEFAULT CURRENT_TIMESTAMP,
    last_login TIMESTAMP NULL,
    reset_token VARCHAR(100) NULL,
    reset_token_expires_at DATETIME NULL
);
                

                    
Cette structure inclut les champs nécessaires pour :
                    

                        
Informations d'identification (nom d'utilisateur, email, mot de passe)
                        
Gestion des rôles (role)
                        
Suivi de l'activité (is_active, created_at, last_login)
                        
Réinitialisation de mot de passe (reset_token, reset_token_expires_at)
                    
                
            
        
        
Inscription d'un utilisateur
        

            

                
Formulaire d'inscription
                

                    
<form method="post" action="register.php">
    <div class="form-group">
        <label for="username">Nom d'utilisateur :</label>
        <input type="text" id="username" name="username" required>
    </div>
    
    <div class="form-group">
        <label for="email">Email :</label>
        <input type="email" id="email" name="email" required>
    </div>
    
    <div class="form-group">
        <label for="password">Mot de passe :</label>
        <input type="password" id="password" name="password" required>
    </div>
    
    <div class="form-group">
        <label for="confirm_password">Confirmation :</label>
        <input type="password" id="confirm_password" name="confirm_password" required>
    </div>
    
    <button type="submit">S'inscrire</button>
</form>
                
            

            

                
Traitement de l'inscription
                

                    
// register.php
if ($_SERVER['POST') {
    // Récupérer et assainir les données
    $username = filter_input(INPUT_POST, 'username', FILTER_SANITIZE_SPECIAL_CHARS);
    $email = filter_input(INPUT_POST, 'email', FILTER_SANITIZE_EMAIL);
    $password = $_POST['password'] ?? '';
    $confirm = $_POST['confirm_password'] ?? '';
    
    // Validation
    $errors = [];
    
    if (empty($username) || strlen($username) < 3) {
        $errors[] = "Le nom d'utilisateur doit contenir au moins 3 caractères.";
    }
    
    if (!filter_var($email, FILTER_VALIDATE_EMAIL)) {
        $errors[] = "L'email n'est pas valide.";
    }
    
    if (strlen($password) < 8) {
        $errors[] = "Le mot de passe doit contenir au moins 8 caractères.";
    }
    
    if ($password !== $confirm) {
        $errors[] = "Les mots de passe ne correspondent pas.";
    }
    
    // Vérifier si l'utilisateur existe déjà
    if (count($errors) === 0) {
        $pdo = new PDO('mysql:host=localhost;dbname=myapp', 'user', 'password');
        
        $stmt = $pdo->prepare('SELECT COUNT(*) FROM users WHERE username = ? OR email = ?');
        $stmt->execute([$username, $email]);
        
        if ($stmt->fetchColumn() > 0) {
            $errors[] = "Ce nom d'utilisateur ou cet email est déjà utilisé.";
        }
    }
    
    // Si aucune erreur, insérer l'utilisateur
    if (count($errors) === 0) {
        // Hachage du mot de passe
        $passwordHash = password_hash($password, PASSWORD_DEFAULT);
        
        $stmt = $pdo->prepare('
            INSERT INTO users (username, email, password) 
            VALUES (?, ?, ?)
        ');
        
        if ($stmt->execute([$username, $email, $passwordHash])) {
            // Rediriger vers la page de connexion
            header('Location: login.php?registered=1');
            exit;
        } else {
            $errors[] = "Une erreur est survenue lors de l'inscription.";
        }
    }
    
    // Afficher les erreurs s'il y en a
    if (count($errors) > 0) {
        foreach ($errors as $error) {
            echo "<div class='error'>{$error}</div>";
        }
    }
}
                    

                        
Points clés de sécurité :
                        

                            
Validation et assainissement des entrées utilisateur
                            
Vérification des doublons (username/email)
                            
Hachage du mot de passe avec password_hash()
                        
                    
                
            
        
        
Connexion d'un utilisateur
        

            

                
Formulaire de connexion
                

                    
<form method="post" action="login.php">
    <div class="form-group">
        <label for="username">Identifiant (nom ou email) :</label>
        <input type="text" id="username" name="identifier" required>
    </div>
    
    <div class="form-group">
        <label for="password">Mot de passe :</label>
        <input type="password" id="password" name="password" required>
    </div>
    
    <div class="form-group">
        <label>
            <input type="checkbox" name="remember_me"> Se souvenir de moi
        </label>
    </div>
    
    <button type="submit">Se connecter</button>
</form>

<p><a href="forgot_password.php">Mot de passe oublié ?</a></p>
                
            

            

                
Traitement de la connexion
                

                    
// login.php
session_start();

// Rediriger si déjà connecté
if (isset($_SESSION['user_id'])) {
    header('Location: dashboard.php');
    exit;
}

if ($_SERVER['POST') {
    // Récupérer les données
    $identifier = trim($_POST['');
    $password = $_POST['password'] ?? '';
    $remember = isset($_POST['remember_me']);
    
    // Validation basique
    if (empty($identifier) || empty($password)) {
        $error = "Tous les champs sont obligatoires.";
    } else {
        // Connexion à la base de données
        $pdo = new PDO('mysql:host=localhost;dbname=myapp', 'user', 'password');
        
        // Chercher l'utilisateur par nom d'utilisateur ou email
        $stmt = $pdo->prepare('
            SELECT id, username, password, role, is_active 
            FROM users 
            WHERE (username = ? OR email = ?) AND is_active = 1
        ');
        $stmt->execute([$identifier, $identifier]);
        $user = $stmt->fetch(PDO::FETCH_ASSOC);
        
        // Vérifier si l'utilisateur existe et si le mot de passe est correct
        if ($user && password_verify($password, $user['password'])) {
            // Régénérer l'ID de session pour prévenir la fixation de session
            session_regenerate_id(true);
            
            // Stocker les informations dans la session
            $_SESSION['user_id'] = $user['id'];
            $_SESSION['username'] = $user['username'];
            $_SESSION['role'] = $user['role'];
            $_SESSION['last_activity'] = time();
            
            // Mettre à jour la date de dernière connexion
            $updateStmt = $pdo->prepare('UPDATE users SET last_login = NOW() WHERE id = ?');
            $updateStmt->execute([$user['id']]);
            
            // Si "Se souvenir de moi" est coché
            if ($remember) {
                // Générer un token unique
                $token = bin2hex(random_bytes(32));
                
                // Stocker le token en base de données
                $tokenStmt = $pdo->prepare('
                    INSERT INTO auth_tokens (user_id, token, expires_at) 
                    VALUES (?, ?, DATE_ADD(NOW(), INTERVAL 30 DAY))
                ');
                $tokenStmt->execute([$user['id'], password_hash($token, PASSWORD_DEFAULT)]);
                
                // Définir un cookie "remember me"
                setcookie(
                    'remember_token', 
                    $user['id'] . ':' . $token,
                    [
                        'expires' => time() + 30 * 24 * 3600, // 30 jours
                        'path' => '/',
                        'httponly' => true,
                        'secure' => true,
                        'samesite' => 'Lax'
                    ]
                );
            }
            
            // Rediriger vers le tableau de bord
            header('Location: dashboard.php');
            exit;
            
        } else {
            // Identifiants incorrects
            $error = "Identifiants incorrects ou compte désactivé.";
            
            // Attendre un peu pour contrer les attaques par force brute
            sleep(1);
        }
    }
}
                    

                        
Points clés de sécurité :
                        

                            
Vérification du mot de passe avec password_verify()
                            
Régénération de l'ID de session pour prévenir la fixation de session
                            
Stockage sécurisé du token "Se souvenir de moi"
                            
Protection contre les attaques par force brute avec sleep()
                        
                    
                
            
        

        
Protection contre les attaques CSRF
        

            
Génération et vérification de token CSRF
            

                
// Générer un token CSRF
function generateCsrfToken() {
    if (empty($_SESSION['csrf_token'])) {
        $_SESSION['csrf_token'] = bin2hex(random_bytes(32));
    }
    return $_SESSION['csrf_token'];
}

// Vérifier un token CSRF
function verifyCsrfToken($token) {
    if (!isset($_SESSION['csrf_token']) || 
        !hash_equals($_SESSION['csrf_token'], $token)) {
        // Token invalide, rejeter la requête
        http_response_code(403);
        die('Action non autorisée');
    }
}

// Dans un formulaire
echo '<input type="hidden" name="csrf_token" value="' . generateCsrfToken() . '">';

// Lors du traitement du formulaire
verifyCsrfToken($_POST['csrf_token'] ?? '');
                

                    
Le token CSRF (Cross-Site Request Forgery) est une mesure de protection cruciale pour empêcher les attaques où un site malveillant pourrait forcer votre navigateur à effectuer des actions non autorisées sur un site où vous êtes authentifié.