Introduction
L'authentification est un système essentiel pour sécuriser l'accès à votre application web.
Elle permet de vérifier l'identité d'un utilisateur et de protéger les données sensibles.
Dans ce cours, vous apprendrez à :
• Hacher les mots de passe de manière sécurisée avec password_hash()
• Vérifier les mots de passe avec password_verify()
• Créer un formulaire d'inscription complet
• Implémenter un système de connexion sécurisé
• Protéger des pages avec les sessions
• Gérer la déconnexion proprement
1. password_hash() : Hacher les mots de passe
Ne JAMAIS stocker les mots de passe en clair !
INSERT INTO users (email, password) VALUES ('jean@example.com', 'monmotdepasse123');
Solution : password_hash()
PHP fournit une fonction sécurisée pour hacher (transformer) les mots de passe de manière irréversible.
<?php
$password = 'monmotdepasse123';
$hash = password_hash($password, PASSWORD_DEFAULT);
echo "Mot de passe original : " . $password . "<br>";
echo "Hash sécurisé : " . $hash;
?>
Résultat :
Mot de passe original : monmotdepasse123
Hash sécurisé : $2y$10$X8ZQe7O7r7r2abcdefghijklmnopqrstuvwxyz123456789ABCDEFG
Important : Le hash est différent à chaque fois (grâce au "salt" automatique) !
2. password_verify() : Vérifier un mot de passe
Comparer un mot de passe avec son hash de manière sécurisée.
<?php
$hash_bdd = '$2y$10$X8ZQe7O7r7r2abcdefghijklmnopqrstuvwxyz123456789ABCDEFG';
$password_saisi = 'monmotdepasse123';
if (password_verify($password_saisi, $hash_bdd)) {
echo "Mot de passe correct ! Connexion réussie.";
} else {
echo "Mot de passe incorrect !";
}
?>
Important : password_verify() compare le mot de passe en clair avec le hash de manière sécurisée. Ne jamais comparer directement avec == !
3. Formulaire d'inscription (register.php)
Créer un compte utilisateur avec validation complète.
<?php
require_once 'db.php';
$errors = [];
$success = '';
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
$nom = trim($_POST['nom'] ?? '');
$prenom = trim($_POST['prenom'] ?? '');
$email = trim($_POST['email'] ?? '');
$password = $_POST['password'] ?? '';
if (empty($nom)) $errors[] = "Le nom est requis.";
if (empty($email) || !filter_var($email, FILTER_VALIDATE_EMAIL)) {
$errors[] = "Email invalide.";
}
if (strlen($password) < 8) {
$errors[] = "Le mot de passe doit contenir au moins 8 caractères.";
}
if (empty($errors)) {
$password_hash = password_hash($password, PASSWORD_DEFAULT);
$sql = "INSERT INTO users (nom, prenom, email, password, date_inscription)
VALUES (:nom, :prenom, :email, :password, NOW())";
$stmt = $pdo->prepare($sql);
$stmt->execute([
'nom' => $nom,
'prenom' => $prenom,
'email' => $email,
'password' => $password_hash
]);
$success = "Compte créé avec succès !";
}
}
?>
4. Formulaire de connexion (login.php)
Système de connexion sécurisé avec sessions.
<?php
session_start();
require_once 'db.php';
$error = '';
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
$email = trim($_POST['email'] ?? '');
$password = $_POST['password'] ?? '';
$sql = "SELECT id, nom, prenom, email, password FROM users WHERE email = :email";
$stmt = $pdo->prepare($sql);
$stmt->execute(['email' => $email]);
$user = $stmt->fetch(PDO::FETCH_ASSOC);
if ($user && password_verify($password, $user['password'])) {
session_regenerate_id(true);
$_SESSION['user_id'] = $user['id'];
$_SESSION['user_nom'] = $user['nom'];
$_SESSION['user_prenom'] = $user['prenom'];
header('Location: dashboard.php');
exit();
} else {
$error = "Email ou mot de passe incorrect.";
}
}
?>
5. Protection de pages (dashboard.php)
Vérifier qu'un utilisateur est connecté avant d'afficher le contenu.
<?php
session_start();
if (!isset($_SESSION['user_id'])) {
header('Location: login.php');
exit();
}
$prenom = htmlspecialchars($_SESSION['user_prenom']);
echo "Bienvenue, $prenom !";
?>
Fichier de protection réutilisable (check_auth.php)
<?php
session_start();
if (!isset($_SESSION['user_id'])) {
header('Location: login.php');
exit();
}
?>
6. Déconnexion (logout.php)
Détruire la session complètement et rediriger.
<?php
session_start();
$_SESSION = [];
if (isset($_COOKIE[session_name()])) {
setcookie(session_name(), '', time() - 3600, '/');
}
session_destroy();
header('Location: login.php');
exit();
?>
Ordre des opérations de déconnexion :
session_start() : Démarrer la session$_SESSION = [] : Vider les variablessetcookie() : Supprimer le cookie (optionnel mais recommandé)session_destroy() : Détruire la sessionheader('Location: ...') : Rediriger
7. session_regenerate_id() : Protection contre le session fixation
Régénérer l'ID de session après une connexion réussie.
Qu'est-ce que le session fixation ?
Une attaque où un hacker force l'utilisateur à utiliser un ID de session connu. En régénérant l'ID après la connexion, on empêche cette attaque.
<?php
session_regenerate_id(true);
$_SESSION['user_id'] = $user_id;
?>
8. Structure SQL pour le système d'authentification
Table users pour stocker les comptes utilisateurs.
CREATE TABLE users (
id INT AUTO_INCREMENT PRIMARY KEY,
nom VARCHAR(100) NOT NULL,
prenom VARCHAR(100) NOT NULL,
email VARCHAR(255) NOT NULL UNIQUE,
password VARCHAR(255) NOT NULL,
date_inscription DATETIME DEFAULT CURRENT_TIMESTAMP,
derniere_connexion DATETIME,
actif TINYINT(1) DEFAULT 1
);
CREATE INDEX idx_email ON users(email);
