Authentification et sessions

1. Connectez-vous sur phpMyAdmin
2. Créez une nouvelle base de données « votre_login_authentication »
3. Importez la table « user » MySQL (télécharger) dans votre nouvelle base MySQL à l'aide de phpMyAdmin
4. Insérez ensuite quelques enregistrements dans la table
   Remarque importante

   Ne pas oublier d'appliquer la fonction SHA512 au mot de passe saisi.

   Vous pouvez utiliser plusieurs techniques (liste non exhaustive !) :

   • Produire des condensats SHA512 avec des outils en ligne ou utiliser la commande shell sha512sum :

     echo -n "votre_mot_de_passe" | sha512sum

     pour obtenir un mot de passe codé à insérer dans phpMyAdmin
   • Insérer vos enregistrements à l'aide de requêtes utilisant la fonction SHA2 de MySQL :

     INSERT INTO `user`(`id`, `lastName`, `firstName`, `login`, `sha512pass`, `phone`)
     VALUES (NULL, 'votre_nom', 'votre_prénom', 'votre_login', SHA2('votre_mdp', 512), 'votre_tel')

   • Insérer vos enregistrements à l'aide d'une requête paramétrée dans phpMyAdmin :

     INSERT INTO `user` (`id`, `lastName`, `firstName`, `login`, `sha512pass`, `phone`)
     VALUES (NULL, :lastName, :firstName, :login, SHA2(:pass, 512), :phone)

     Il suffit alors de cocher « Lier les paramètres » dans phpMyAdmin pour pouvoir saisir les paramètres :

1. Copiez le fichier « .mypdo.ini.dist » en « .mypdo.ini »
   Information

   Les fichiers « .dist » contiennent traditionnellement des éléments de configuration donnés à titre d'exemple dans la distribution d'un projet. La configuration fournie est factice mais elle pose les bases pour faciliter la mise en place du projet pour ceux qui l'installent.

2. Éditez « .mypdo.ini » pour le faire correspondre à votre nouvelle base de données
   Remarque importante

   Le fichier « .mypdo.ini » contient votre mot de passe et ne doit donc pas être ajouté à l'index Git.

3. Installez « PHP CS Fixer » en lançant composer install
4. Configurez « PHP CS Fixer » dans PhpStorm

1. Créez à l'emplacement approprié dans la sous-arborescence de « src » la classe « Entity\User » dont les attributs privés correspondent aux champs « id », « lastName », « firstName », « login » et « phone » de la table « user » MySQL
   Remarque importante

   L'attribut « id » est de type entier.

   Pour des raisons de sécurité, le mot de passe « sha512pass » ne sera surtout pas utilisé comme attribut de l'objet, ni même sélectionné dans les requêtes.

2. Utilisez votre IDE/éditeur de texte pour générer automatiquement les accesseurs
3. Créez à l'emplacement approprié dans la sous-arborescence de « src » la classe « Entity\Exception\EntityNotFoundException »
4. Écrivez la méthode de classe « findByCredentials(string $login, string $password): self » qui recherche dans la base de données l'utilisateur dont le login et le mot de passe sont passés en paramètre et retourne une instance de « User » ou lève une exception de type « EntityNotFoundException » si aucun enregistrement n'a été trouvé.
   Remarque importante

   Le mot de passe est fourni en clair alors que celui contenu dans la base de données est encodé en SHA512.

   Les données récupérées depuis la base de données par le biais de « PDOStatement » seront structurées sous forme d'instances de « UserAvatar ». Vous utiliserez donc la méthode « fetchObject() ».

   Utilisez « UneClasse::class » pour désigner le nom pleinement qualifié de la classe « UnEspaceDeNom\UnSousEspaceDeNom\UneClasse » lorsqu'elle est importée avec « use ».

5. Vous n'écrirez aucun modificateur car ils sont inutiles pour les problématiques d'authentification et de sécurité mises en avant dans ce TP.
6. Le profil de l'utilisateur sera géré par la classe « Html\UserProfile » :
   Information

   Notez que d'un point de vue conception pure, la méthode « escapeString() » du trait « StringEscaper » est une méthode de classe puisqu'aucune donnée d'instance n'est utilisée. Cependant, pour respecter les bonnes pratiques d'implémentation et faciliter l'utilisation de la méthode (notamment dans les chaînes de caractères), nous l'avons définie comme méthode d'instance.

   1. La classe utilise le trait « StringEscaper »
   2. La classe possède une unique propriété de type « User »
   3. Le constructeur recevra une instance de « User » et l'affectera à la propriété de l'instance courante
   4. La classe propose un accesseur sur la propriété de type « User »
   5. La méthode d'instance « toHtml() » permet de produire une mise en forme HTML très simple des noms, prénom, login (et identifiant entre crochets) et téléphone d'un utilisateur (en protégeant les valeurs à l'aide de la méthode « escapeString() » de « StringEscaper »
      Remarque importante

      Il est primordial de protéger les valeurs issues de la base de données avant de les intégrer au contenu Web.

7. Observez le code source PHP du programme de test « test-user.php » présent dans le répertoire de votre projet
   Information

   Notez l'utilisation de l'assistant « Html\Helper\Dumper » qui exploite la fonction « var_dump($une_variable) » mais propose de retourner le résultat plutôt que de l'afficher en tirant profit des fonctions de bufferisation de la sortie.

8. Vérifiez que votre classe « User » est pleinement fonctionnelle en comparant votre résultat du programme« test-user.php » à celui-ci :

Vous allez écrire la classe « Authentication\UserAuthentication » :

1. Créez la classe « Authentication\UserAuthentication » dans la sous-arborescence de « src »
2. Dans la classe, définissez les constantes qui serviront à définir de façon fiable le nom des champs du formulaire de connexion
3. Écrivez la méthode d'instance « loginForm(string $action, string $submitText = 'OK'): string » qui produit le formulaire de connexion
   Remarque importante

   Pensez à utiliser les constantes de classe « LOGIN_INPUT_NAME » et « PASSWORD_INPUT_NAME ».

4. Placez « form.php » (télécharger) dans le répertoire des programmes Web
5. Vérifiez qu'il permet de produire le formulaire d'authentification :
6. Écrivez la classe « Authentication\Exception\AuthenticationException » héritant de « Exception »
7. Écrivez la méthode d'instance « getUserFromAuth() » qui utilise la méthode « findByCredentials() » de la classe « User » en lui passant le login et le mot de passe issus du tableau « $_POST ». En cas de succès, l'objet « User » est retourné. En cas d'échec, une « AuthenticationException » est lancée.
   Remarque importante

   Pensez à utiliser les constantes de classe « LOGIN_INPUT_NAME » et « PASSWORD_INPUT_NAME ».

8. Placez « auth.php » (télécharger) dans le répertoire des programmes Web
9. Vérifiez qu'il permet de valider l'authenticité d'un utilisateur à partir du couple identifiant/mot de passe provenant du formulaire précédent
   Remarque importante

   Afin de déboguer efficacement, vérifiez le contenu de vos variables à l'aide de la méthode « dump($une_variable) » de l'assistant « Html\Helper\Dumper » ou la fonction « var_dump($une_variable) ».

1. Recopiez la classe « Session » que vous avez écrite lors du précédent TP dans la sous-arborescence du répertoire « src »
2. Recopiez la classe « SessionException » que vous avez écrite lors du précédent TP dans la sous-arborescence du répertoire « src »

1. Implémentez la méthode d'instance protégée « getUserFromSession() » qui retourne l'objet « User » correspondant à la variable de session précédemment utilisée, à condition que celle-ci contienne bien un objet « User ». Elle lève une exception de type « NotLoggedInException » dans le cas contraire.
2. Écrivez la classe « NotLoggedInException » qui hérite de « Exception »
3. Ajoutez un constructeur public à la classe « UserAuthentication ».
4. Faites appel à la méthode « getUserFromSession() » dans le constructeur afin de restaurer la propriété « $user » de la classe si cela est possible (capture des exceptions de type « NotLoggedInException » sinon)
5. Écrivez une méthode « getUser() » qui retourne la propriété « $user » de l'instance courante si elle est définie et lève une « NotLoggedInException » sinon
6. Modifiez le programme « form.php » pour qu'il affiche l'utilisateur connecté s'il en existe un et propose le formulaire de connexion si aucun utilisateur n'est enregistré dans les données de session en supprimant l'utilisation de la méthode « isUserConnected() »
7. Vous devez constater que la déconnexion nécessite deux demandes pour être effective
8. Dans la méthode « logoutIfRequested() » affectez « null » à la propriété « $user » pour que votre classe considère qu'aucun utilisateur n'est connecté (il avait été récupéré depuis les données de session avant qu'elles ne soient détruites)
9. Créez un script « authenticated.php » sur la base de « connected.php » qui effectuera une redirection pour les visiteurs non connectés mais affichera le prénom de l'utilisateur authentifié.