Token anti CSRF sur les formulaires

Quand tu exécutes le programme, quel est le résultat de chacun de ces tests?  Vrai ou faux?

Le problème comme je l'ai dit c'est qu'il m'affiche mon else avec ce message d'erreur : 

Toolbox::ajouterMessageAlerte("Combinaison Login / Mot de passe non valide", Toolbox::COULEUR_ROUGE);

C'est a dire que au niveau de mon controller et de ma fonction la condition if n'est pas remplie: 

public function validation_login($login, $password)

    {

        if(verifier_token(60, 'http://localhost/portail', 'connexion'))

        {
           ...

Il échoue ou alors n'arrive pas à vérifier mon token et j'aimerais savoir pourquoi.

Si tu veux savoir pourquoi, il faut soit modifier ta fonction verifier_token(), de façon à ce qu'elle donne des informations sur les résultats des tests qu'elle effectue, soit afficher les données qu'elle utilise.

Le voilà : 

Notice: Undefined variable: nom in C:\Applications\wamp64\www\portail\controllers\UserController.controller.php on line 232

Notice: Undefined index: _token in C:\Applications\wamp64\www\portail\controllers\UserController.controller.php on line 232
NULL
Notice: Undefined variable: nom in C:\Applications\wamp64\www\portail\controllers\UserController.controller.php on line 233

Notice: Undefined index: _token_time in C:\Applications\wamp64\www\portail\controllers\UserController.controller.php on line 233
NULL string(33) " 5557175956349514ed2bfa1.47271953" 

Dans la fonction validation_login non 

Mais on s'en sert dans la fonction generer_token() et verifier_token().

Elle me permet de différencier les différents token car pour l'instant j'en ai qu'un pour ma page de connexion mais après je voudrais en mettre sur chaque page où il y a un formulaire.

A noter la fonction generer_token génère bien un token.

Tu ne peux pas utiliser dans une fonction des variables déclarées ailleurs.

J'ai ajouté ce que tu m'as dit  

 public function isCombinaisonValide($login, $password)
    {
        $passwordBD = $this->getPasswordUser($login);
        
        if(verifier_token(60, 'http://localhost/portail', 'connexion'))
            {
            
                // Code erreur: #UM04
                if (password_verify($password, $passwordBD)) {
                    return true;
                } else {
                    // à décommenter lors du passage en prod et commenter la ligne en dessous Toolbox::ajouterMessageAlerte("Echec lors de la connexion", Toolbox::COULEUR_ROUGE);
                    Toolbox::ajouterMessageAlerte("Echec de la comparaison - Code erreur: #UM04", Toolbox::COULEUR_ROUGE);
                    return false;
                }
            }
            else
            {
                var_dump(verifier_token(60, 'http://localhost/portail', 'connexion'));
                var_dump($_SESSION);
                var_dump($_POST['token']);
                echo time();
                var_dump($_SERVER['HTTP_REFERER']);
                Toolbox::ajouterMessageAlerte("Le token de connexion n'est plus valide", Toolbox::COULEUR_ROUGE);
            }
    
       
    }

ce que ça m'affiche : 

NULL array(2) { ["connexion_token"]=> string(32) "266224583635679b1976174.65750909" ["connexion_token_time"]=> int(1666611633) } string(33) " 266224583635679b1976174.65750909" 1666611638 string(31) "http://localhost/portail/" 

Tout à l'air bon j'ai l'impression que c'est juste ma fonction le problème 

Tu n'as pas remarqué la différence entre le token enregistré et celui de retour du client?

EDIT: Ni la différence entre le second paramètre de la fonction et la valeur réelle?

Je vois la différence entre les 2 mais la je t'avoue que je n'y comprend plus grand choses et pour le second paramètre c'est bien ça qu'il me retourne avec le var_dump($_SERVER['HTTP_REFERER']) :

"http://localhost/portail/"

Que ne comprends-tu pas?

Ok j'viens de regarder en effet ce ne sont pas les mêmes pour 

var_dump($_SESSION); var_dump($_POST['token']);

J'ai : 

array(2) { ["connexion_token"]=> string(33) "20856374206357c932f3d595.05367174" ["connexion_token_time"]=> int(1666697522) } string(34) " 20856374206357c932f3d595.05367174" 

Déjà est-ce normal d'avoir un int dans connexion_token_time ? Oui il me semble car ça représente le time() de la génération du token.

Mais var_dump($_POST['token']) devrait renvoyer le connexion_token aussi pas le connexion_token_time

Et pourquoi y 'a un un espace dans le connexion_token_time ??

Ajoute peut-être des echo entre les var_dump(), cela t'aidera à comprendre ce qui est affiché.

J'sais pas si j'ai bien compris mais j'ai fais comme ça : 

var_dump($_SESSION);
echo '<br><br>';
var_dump($_POST['token']);

et j'ai ça : 

array(2) { ["connexion_token"]=> string(33) "10129750246357e657b5d463.30582692" ["connexion_token_time"]=> int(1666704983) }

string(34) " 10129750246357e657b5d463.30582692" 

Donc $_SESSION retourne le connexion_token et le connexion_token_time

Et $_POST['token'] retourne le connexion token avec un espace au début de la chaîne en plus.

Et donc ta vérification ne fonctionne pas:

1. le connexion_token n'est pas le même dans $_SESSION et dans $_POST
2. $_SERVER['HTTP_REFERER'] est différent de la valeur passée en paramètre

Ok, je pense que c'est ce que je vais faire toute façon je ne vois pas trop comment faire autrement.

Merci bien ;)

Tu pourrais, techniquement, utiliser partout le même "nom" de token (connexion) mais cela rendrait tout plus confus.