Comment créer et protéger un espace membre en PHP

La création d'un espace protégé par login et mot de passe est une demande courante dans les forums PHP. Dans ces quelques lignes, je vous montre comment obtenir un espace membre ou un espace backoffice simple utilisant un formulaire de connexion. Je n'utilise que du PHP simple et des variables de session : cette lecture est donc accessible aux débutants.

Le principe d'une authentification sur un site web est simple : l'utilisateur renseigne son identifiant et son mot de passe dans un formulaire, puis ces données sont comparées à celles qui se trouvent dans une base de données. Si les deux coincident, l'utilisateur est authentifié et redirigé vers la bonne page.

Pour réaliser l'authentification, nous aurons besoin :

1. De savoir utiliser les sessions en PHP.
2. De créer une table users dans une base de données mabase.
3. De créer un formulaire de connexion : login.php.
4. De créer une page d'accueil de backoffice ou d'espace membre : index.php.
5. De créer une page dologin.php contenant la logique de l'authentification.

Dans le cadre de la programmation orientée objet, vous pouvez utiliser un composant objet dédié à l'authentification, ou créer votre propre composant. En utilisant des interfaces adaptées, vous pouvez aussi gérer plusieurs types de connexion : par formulaire, Twitter, Google ou encore Facebook.

Dans un premier temps, nous allons dire deux mots sur les sessions en PHP, la création et l'utilisation des variables de session.

1- Sessions et variables de session

Les sessions permettent de créer des variables qui traversent les pages. PHP dispose d'un gestionnaire de sessions que l'on doit activer sur toute page contenant des variables de session. Pour chaque utilisateur, un ID de session est créé et la plupart du temps stocké sur le client sous forme de cookie. Les variables associées à une session sont, quant à elles, stockées sur le serveur.
 

Activer une session et créer des variables

Voici le code minimal pour activer une session, créer et lire des variables de session. La fonction session_start() doit se trouver tout en haut, bien avant la création d'une variable de session :

<?php
    //Activer le gestionnaire de session
    session_start();
    
    //Creer la variable de session nom
    $_SESSION['nom'] = "Dupont";
    
    //Un echo suffit pour afficher le contenu de la variable
    echo $_SESSION['nom'];

?>

Pour créer la table, vous pouvez jouer le code SQL ci-dessous. Si vous utilisez un outil comme phpMyAdmin, créez alors votre table via l'interface web de phpMyAdmin par exemple, si vous ne souhaitez pas taper de code SQL.

CREATE TABLE users(
    id INT(3) PRIMARY KEY AUTO_INCREMENT,
    login VARCHAR(20),
    pwd VARCHAR(15),
    nom VARCHAR(50),
    prenom VARCHAR(50),
    role VARCHAR(50),
    active TINYINT(1)
) ENGINE=InnoDB DEFAULT CHARACTER SET = utf8 COLLATE = utf8_general_ci;

INSERT INTO users
VALUES(NULL, 'admin', 'admin-pwd', 'DUPONT', 'Jean', 'ADMIN', 1),
(NULL, 'oper', 'oper-pwd', 'MARC', 'Lucie', 'OPERATEUR', 1);

<?php
    //Tester la superglobale
    if(isset($_GET['msg'])){
        echo "<b style='color:red;'>" . $_GET['msg'] . "</b>";
    }

?>

<form name="connexion" method="post" action="dologin.php">
    Identifiant : <input type="text" name="login"><br>
    Mot de passe : <input type="password" name="pwd"><br>
    <input type="submit" name="send" value="Connexion">
</form>

<?php
	//Formulaire soumis
    if(!empty($_POST['login'])){
	
		//Activer le gestionnaire de session.
		session_start();
		
		//Obtenir la saisie de l'internaute
		$login = $_POST['login'];
		$pwd = $_POST['pwd'];
		
		//Le code SQL
		$query = "SELECT * FROM users WHERE login='$login' AND pwd='$pwd';";
		
		//Lien de connexion (API MySQLi)
		$db = mysqli_connect('localhost','root','','mabase') or die("Connexion impossible " . mysqli_error());
		
		//Execution et obtention d'un curseur
		$curseur = mysqli_query($db, $query) or die("exec impossible " . mysqli_error());
		
		//Test du nombre de lignes obtenu
		if(mysqli_num_rows($curseur) == 1){
			//Authentification OK, obtenir les infos
			$data = mysqli_fetch_object($curseur);
			
			//Compte actif ou pas?
			if($data->active == 1){
				//Variables de session
				$_SESSION['auth'] = $login;
				$_SESSION['nom'] = $data->nom;
				$_SESSION['prenom'] = $data->prenom;
				$_SESSION['active'] = $data->active;
				$_SESSION['role'] = $data->role;
				
				//Test des droits
				switch($data->role){
					case 'ADMIN': header("location:" . "admin/index-admin.php");
					exit;
					break;
					
					case 'OPERATEUR': header("location:" . "admin/index-operateur.php");
					exit;
					break;
					
				}
			}
			else{
				//Le compte est inactif
				$msg = "Login ou mot de passe incorrect";
				
				//Redirection
				header("location:" . "login.php?msg=$msg");
				exit;
			}
		}
		else{
			//Aucun utilisateur
			$msg = "Login ou mot de passe incorrect";
			
			//Redirection
			header("location:" . "login.php?msg=$msg");
			exit;
		}
	}
?>

<?php
    //Tester une variable de session
    if(!isset($_SESSION['auth'])){
        //Message d'erreur
        $msg = "Login ou mot de passe incorrect.";
        
        //Redirection
        header("location:" . "../login.php?msg=$msg");
        exit;
    }
	
	//On peut aussi tester si le compte est actif
	if($_SESSION['active'] != 1){
        //Message d'erreur
        $msg = "contactez l'administrateur.";
        
        //Redirection
        header("location:" . "../login.php?msg=$msg");
        exit;
    }
?>