Hashage et sallage des MDPs (fonctionnel)

pages/admin.php

@@ -131,7 +131,7 @@ if (isset($_GET['edit_xp']) && is_numeric($_GET['edit_xp'])) {
             <input type="text" name="user" required>
 
             <!-- role admin ou user -->
-            <label>Rôle</label>
+            <label>Rôle (admin/user)</label>
             <textarea name="role" required></textarea>
 
             <label>Mot de passe</label>

pages/home.php

@@ -13,5 +13,4 @@ require_once('./../elements/header.php');
 <?php
 // Ajout du footer
 require_once('../elements/footer.php');
-
 ?>

pages/login.php

@@ -26,9 +26,9 @@ if (isset($_SESSION['user_id'])){
 
         <p>Connexion</p>
 
-        <!-- Deux champs de texte, un "id" et un "passwd" -->
-        <input type="text" name="id" id="id" placeholder="Votre identifiant">
-        <input type="password" name="passwd" id="passwd" placeholder="Votre mot de passe">
+        <!-- Deux champs de texte, un "username" et un "password" -->
+        <input type="text" name="username" id="username" placeholder="Votre identifiant">
+        <input type="password" name="password" id="password" placeholder="Votre mot de passe">
 
         <!-- Bouton de connexion -->
         <input type="submit" value="Se connecter">

scripts/addUser.php

@@ -13,9 +13,9 @@ if (!isset($_SESSION["role"]) || $_SESSION["role"] != "admin") {
 // Si le formulaire a été soumis
 if ($_SERVER["REQUEST_METHOD"] == "POST") {
     // Récupération des données du formulaire
-    $user = $_POST["user"];
-    $role = $_POST["role"];
-    $passwd = $_POST["passwd"];
+    $user = trim($_POST["user"] ?? "");
+    $role = $_POST["role"] ?? "";
+    $passwd = $_POST["passwd"] ?? "";
 
     // Vérification que tous les champs sont remplis
     if ($user == "" || $role == "" || $passwd == "") {
@@ -29,7 +29,7 @@ if ($_SERVER["REQUEST_METHOD"] == "POST") {
         } else {
             try {
                 // Requête SQL pour vérifier si le nom d'utilisateur existe déjà
-                $sqlVerification = "SELECT * FROM users WHERE username = :username";
+                $sqlVerification = "SELECT * FROM users WHERE username = :username LIMIT 1";
                 $requeteVerification = $dbh->prepare($sqlVerification);
                 $requeteVerification->execute([
                     ":username" => $user
@@ -45,12 +45,15 @@ if ($_SERVER["REQUEST_METHOD"] == "POST") {
                     // Génération de la date de création
                     $dateCreation = date("Y-m-d H:i:s");
 
+                    // Hashage du mot de passe
+                    $passwordHash = password_hash($passwd, PASSWORD_DEFAULT);
+
                     // Requête SQL d'insertion du nouvel utilisateur
                     $sqlAjout = "INSERT INTO users (username, password, role, created_at) VALUES (:username, :password, :role, :created_at)";
                     $requeteAjout = $dbh->prepare($sqlAjout);
                     $requeteAjout->execute([
                         ":username" => $user,
-                        ":password" => $passwd,
+                        ":password" => $passwordHash,
                         ":role" => $role,
                         ":created_at" => $dateCreation
                     ]);

scripts/checkLogin.php

@@ -14,39 +14,30 @@ if ($_SERVER['REQUEST_METHOD'] !== 'POST') {
     exit;
 }
 
-// On récupère les champs envoyé par le post et on les nettoie
-$username = trim($_POST['id']   ?? '');
-$password = trim($_POST['passwd'] ?? '');
+$username = trim($_POST['username'] ?? '');
+$password = $_POST['password'] ?? '';
 
-// Si les champs sont vides on renvoie vers Login.php : Prévoir dans le futur une erreur
-if (empty($username) || empty($password)) {
-    header('Location: ./../pages/login.php');
-    exit;
-}
-
-// On regarde si l'utilisateur est dans la base de donnée sinon ça ne sert a rien de traiter
 try {
     $stmt = $dbh->prepare('SELECT id, username, password, role FROM users WHERE username = :username LIMIT 1');
     $stmt->execute([':username' => $username]);
     $user = $stmt->fetch();
- 
 } catch (PDOException $e) {
     error_log('Erreur sql dans la requête : ' . $e->getMessage());
     header('Location: ./../pages/login.php');
     exit;
 }
- 
+
 // On regarde si le mdp correspond à celui en bdd
-if (!$user || $user['password'] !== $password) {
+if (!$user || !password_verify($password, $user['password'])) {
     header('Location: ./../pages/login.php');
     exit;
 }
- 
+
 // Si la connexion est ok, on entregistre l'utilisateur dans $_SESSION
-$_SESSION['user_id']  = $user['id'];
+$_SESSION['user_id'] = $user['id'];
 $_SESSION['username'] = $user['username'];
-$_SESSION['role']     = $user['role'];
- 
+$_SESSION['role'] = $user['role'];
+
 // Date de connexion mise à jour
 try {
     $stmt = $dbh->prepare('UPDATE users SET last_login = NOW() WHERE id = :id');
@@ -54,6 +45,8 @@ try {
 } catch (PDOException $e) {
     error_log('Le serveur WEB ne peut pas modifier la date de dernière connexion : ' . $e->getMessage());
 }
- 
+
 //Redirection vers home.php puisque que l'utilisateur est forcément connecté
-header('Location: ./../pages/home.php');
+header('Location: ./../pages/home.php');
+exit;
+?>