Forum : Session et mot de passe. Variable de session

le problème est là ;)
ou peut être plus loin :D
@plus
Pierre

Auteur

Merci Pierrot01 :)
Je crois que j'ai oublié mes codes :(
Les voici!
le controller frontend avec la fonction connection

function connection($login, $password) 
{
    $adminManager = new \Alaska\Blog\Model\AdminManager();
    $adminInfo = $adminManager->checkLogin($_POST['login'], sha1($_POST['password']));

    if (is_array($adminInfo)) {
        session_start();
        $_SESSION['administrateur'] = true;
        $_SESSION['login'] = $adminInfo['login'];
        $_SESSION['password'] = $adminInfo['password'];

        if (isset($_SESSION['administrateur'])) {

            header('Location: index.php?action=listChaptersBackend');

        } else {
            include 'view/frontend/ErrorView.php';
        }
    } else {
        include 'view/frontend/connexionView.php';
    }

}

et le code de la vue de la page d'acceuil du backend avec session_start() au tout début

<?php
session_start();
if ((!isset($_SESSION['administrateur'])) || (empty($_SESSION['administrateur']))) {
    header ('Location: view/frontend/ErrorView');
}
?>

Désolée d'avoir oublié de les publier, la fatigue et le désespoir probablement ;)

JeremyB

Salut,

Premièrement, je trouve que tu appelles plusieurs fois session_start(). Ce n'est pas une erreur dans ton code, juste qu'à mon avis, je l'aurai appelé directement sur ta page index.php une bonne fois pour toute. Tu es sûr qu'il n'y aura aucun problème et ça t'enlève des lignes sur toutes tes pages où tu as besoin de session_start().

Peux tu nous donner le code de $adminManager->checkLogin(). Car on ne sait pas ce qu'il retourne (un tableau apparement, mais la faute peut se trouver à l'intérieur).

Lartak

Bonjour.
Je ne sais pas quel est ton niveau en PHP, mais il y a certaines choses dans ton code qui devrait te paraître incorrectes.
Mais pour commencer, j'ai une question à te poser, est-ce que tu sauvegardes bien tes utilisateurs en base de données ?
Car tu dis :

Dans mon controller fronted, j'ai ma fonction connexion qui vérifie les données ( login et mot de passe) pour ensuite décider des actions.

Et :

Les variables ne sont pas stockées et donc mon espace admin n'est pas protégé!

Pour vérifier les données postées lors de la connexion, il faut bien que les données d'origines soient sauvegardées quelque part autre qu'en session.
Surtout que dans le code de ta fonction connection, tu définies le mot de passe en session, ce qui est totalement inutile puisque le minimum des informations que tu peux avoir besoin de sauvegarder dans la session correspondant à un utilisateur connecté, sont par exemple la valeur de la clé primaire de son enregistrement de données en BDD de manière à pouvoir récupérer ses données par la suite.
Alors que le mot de passe tu n'en as besoin que dans les cas de connexion ou de modification de celui-ci.
Ensuite les autres données concernant l'utilisateur connecté que tu peux avoir besoin de garder en session sont par exemple son nom d'utilisateur de manière à ne pas faire une requête SQL sur chaque page dans lesquelles tu veux le lui afficher.
Ensuite, ce que je ne comprends pas, c'est pourquoi est-ce que tu envoies à ta méthode checkLogin de ta classe AdminManager le mot de passe déja encrypté ?
Il te suffit de lui passer le mot de passe tel qu'il est posté et la méthode s'occupera elle même de l'encrypter quand elle en aura besoin.
Sinon, pour en revenir à ce que je disais au début, si tu veux que ton application travaille avec la session, je te conseillerais que dans une classe qui est exécuté à chaque fois, tu définisses dans son constructeur par exemple :

if (session_status() == PHP_SESSION_NONE) {
    session_start();
}

Celà t'évitera par exemple de tomber sur l'erreur qui est souvent retournée comme quoi la session est déja démarrée.
Si tu préfères, tu peux même mettre le bout de code ci-dessus dans le premier fichier qui est exécuté par ton serveur (index.php).

Ensuite, quel est l'intérêt de cette condition :

if (isset($_SESSION['administrateur'])) {

Alors que quelques lignes plus haut, tu définis l'index administrateur en session en la définissant à true et que ni sa valeur n'est modifié entre-temps, ni supprimé.
Ce qui concrètement veut dire qu'elle est totalement inutilé puisque tu y rentrera toujours dans la première partie, tu pourrais écrire directement le code suivant, ça aurait exactement le même effet :

$_SESSION['administrateur'] = true;
$_SESSION['login'] = $adminInfo['login'];
header('Location: index.php?action=listChaptersBackend');

Session et mot de passe. Variable de session

33 réponses