Hashage et sallage des MDPs (fonctionnel)

pages/home.php

@@ -13,5 +13,4 @@ require_once('./../elements/header.php');
 <?php
 // Ajout du footer
 require_once('../elements/footer.php');
-
 ?>

pages/login.php

@@ -26,9 +26,9 @@ if (isset($_SESSION['user_id'])){
 
         <p>Connexion</p>
 
-        <!-- Deux champs de texte, un "id" et un "passwd" -->
-        <input type="text" name="id" id="id" placeholder="Votre identifiant">
-        <input type="password" name="passwd" id="passwd" placeholder="Votre mot de passe">
+        <!-- Deux champs de texte, un "username" et un "password" -->
+        <input type="text" name="username" id="username" placeholder="Votre identifiant">
+        <input type="password" name="password" id="password" placeholder="Votre mot de passe">
 
         <!-- Bouton de connexion -->
         <input type="submit" value="Se connecter">

scripts/addUser.php

@@ -13,9 +13,9 @@ if (!isset($_SESSION["role"]) || $_SESSION["role"] != "admin") {
 // Si le formulaire a été soumis
 if ($_SERVER["REQUEST_METHOD"] == "POST") {
     // Récupération des données du formulaire
-    $user = $_POST["user"];
-    $role = $_POST["role"];
-    $passwd = $_POST["passwd"];
+    $user = trim($_POST["user"] ?? "");
+    $role = $_POST["role"] ?? "";
+    $passwd = $_POST["passwd"] ?? "";
 
     // Vérification que tous les champs sont remplis
     if ($user == "" || $role == "" || $passwd == "") {
@@ -29,7 +29,7 @@ if ($_SERVER["REQUEST_METHOD"] == "POST") {
         } else {
             try {
                 // Requête SQL pour vérifier si le nom d'utilisateur existe déjà
-                $sqlVerification = "SELECT * FROM users WHERE username = :username";
+                $sqlVerification = "SELECT * FROM users WHERE username = :username LIMIT 1";
                 $requeteVerification = $dbh->prepare($sqlVerification);
                 $requeteVerification->execute([
                     ":username" => $user
@@ -45,12 +45,15 @@ if ($_SERVER["REQUEST_METHOD"] == "POST") {
                     // Génération de la date de création
                     $dateCreation = date("Y-m-d H:i:s");
 
+                    // Hashage du mot de passe
+                    $passwordHash = password_hash($passwd, PASSWORD_DEFAULT);
+
                     // Requête SQL d'insertion du nouvel utilisateur
                     $sqlAjout = "INSERT INTO users (username, password, role, created_at) VALUES (:username, :password, :role, :created_at)";
                     $requeteAjout = $dbh->prepare($sqlAjout);
                     $requeteAjout->execute([
                         ":username" => $user,
-                        ":password" => $passwd,
+                        ":password" => $passwordHash,
                         ":role" => $role,
                         ":created_at" => $dateCreation
                     ]);

scripts/checkLogin.php

@@ -14,22 +14,13 @@ if ($_SERVER['REQUEST_METHOD'] !== 'POST') {
     exit;
 }
 
-// On récupère les champs envoyé par le post et on les nettoie
-$username = trim($_POST['id']   ?? '');
-$password = trim($_POST['passwd'] ?? '');
+$username = trim($_POST['username'] ?? '');
+$password = $_POST['password'] ?? '';
 
-// Si les champs sont vides on renvoie vers Login.php : Prévoir dans le futur une erreur
-if (empty($username) || empty($password)) {
-    header('Location: ./../pages/login.php');
-    exit;
-}
-
-// On regarde si l'utilisateur est dans la base de donnée sinon ça ne sert a rien de traiter
 try {
     $stmt = $dbh->prepare('SELECT id, username, password, role FROM users WHERE username = :username LIMIT 1');
     $stmt->execute([':username' => $username]);
     $user = $stmt->fetch();
- 
 } catch (PDOException $e) {
     error_log('Erreur sql dans la requête : ' . $e->getMessage());
     header('Location: ./../pages/login.php');
@@ -37,7 +28,7 @@ try {
 }
 
 // On regarde si le mdp correspond à celui en bdd
-if (!$user || $user['password'] !== $password) {
+if (!$user || !password_verify($password, $user['password'])) {
     header('Location: ./../pages/login.php');
     exit;
 }
@@ -57,3 +48,5 @@ try {
 
 //Redirection vers home.php puisque que l'utilisateur est forcément connecté
 header('Location: ./../pages/home.php');
+exit;
+?>