Validation des formulaires

Bienvenue dans la prochaine leçon ! Dans cette leçon, vous apprendrez à valider et à sécuriser les données saisies par l’utilisateur afin de garantir l’exactitude des données de vos formulaires et de les protéger contre les attaques malveillantes. Plongeons-nous dans le sujet !

La validation et la sécurisation des données saisies dans les formulaires sont essentielles pour :

• Garantir l’exactitude et la facilité d’utilisation des données.
• Se protéger contre les menaces de sécurité telles que les injections SQL et les attaques XSS.

Point essentiel : Validez et assainissez toujours les données saisies par l’utilisateur avant de les traiter ou de les stocker.

Utilisez les fonctions intégrées à PHP pour valider les données courantes :

• filter_var() : valide les adresses e-mail, les adresses web et les nombres entiers.
• preg_match() : valide les données saisies à l’aide d’expressions régulières.

Exemple : Validation d’une adresse e-mail :

<?php
  if ($_SERVER["REQUEST_METHOD"] == "POST") {
    $email = $_POST["email"];
    if (filter_var($email, FILTER_VALIDATE_EMAIL)) {
      echo "Valid email: $email";
    } else {
      echo "Invalid email address.";
    }
  }
?>

Assainissez les données saisies pour supprimer les caractères indésirables ou le code malveillant. Exemple :

Conseil : Utilisez filter_var() avec les filtres appropriés selon les différents types de données.

<?php
  if ($_SERVER["REQUEST_METHOD"] == "POST") {
    $name = filter_var($_POST["name"], FILTER_SANITIZE_STRING);
    echo "Sanitized Name: $name";
  }
?>

Échappez les caractères spéciaux pour prévenir les attaques XSS. Utilisez :

• htmlspecialchars() : convertit les caractères spéciaux en entités HTML.

Exemple :

Conseil : Échappez toujours les données saisies par l’utilisateur avant de les afficher dans le navigateur.

<?php
  if ($_SERVER["REQUEST_METHOD"] == "POST") {
    $comment = htmlspecialchars($_POST["comment"]);
    echo "Comment: $comment";
  }
?>

Une injection SQL se produit lorsque du code malveillant est inséré dans vos requêtes SQL. Utilisez des instructions préparées pour l’éviter. Exemple :

Point essentiel : Utilisez toujours des instructions préparées pour les interactions avec la base de données.

<?php
  $pdo = new PDO("mysql:host=localhost;dbname=testdb", "root", "");
  $stmt = $pdo->prepare("SELECT * FROM users WHERE username = :username");
  $stmt->execute(["username" => $_POST["username"]]);
  $user = $stmt->fetch();
?>

Voici quelques schémas courants :

• Validation d’un numéro de téléphone : preg_match('/^\d{10}$/', $phone)
• Validation d’un mot de passe : vérifiez sa longueur et sa complexité.

Exemple : Validation d’un mot de passe robuste :

<?php
  if ($_SERVER["REQUEST_METHOD"] == "POST") {
    $password = $_POST["password"];
    if (strlen($password) >= 8 && preg_match('/[A-Z]/', $password)) {
      echo "Strong password!";
    } else {
      echo "Password must be at least 8 characters long and include an uppercase letter.";
    }
  }
?>

Pour les formulaires qui gèrent les téléversements de fichiers :

• Vérifiez le type et la taille du fichier.
• Stockez les fichiers dans un répertoire sécurisé en dehors de la racine du site.

Exemple :

<?php
  if ($_FILES["file"]["size"] < 500000 && in_array($_FILES["file"]["type"], ["image/jpeg", "image/png"])) {
    move_uploaded_file($_FILES["file"]["tmp_name"], "/secure/location/" . $_FILES["file"]["name"]);
    echo "File uploaded successfully!";
  } else {
    echo "Invalid file.";
  }
?>

Félicitations ! Vous avez appris à valider et à sécuriser les données saisies dans les formulaires afin de garantir la sûreté et la fiabilité de vos applications web. Dans la prochaine leçon, nous découvrirons comment gérer les téléversements de fichiers en PHP. Continuons à coder !