Part 6: Sécurisation avec le CSRF Token | developper un site e-commerce complet en php

Salut à tous et bienvenue dans cette sixième partie de notre série sur le développement d’un site e-commerce complet en PHP !

Dans cette vidéo, on va aborder une protection essentielle contre les attaques de type CSRF (Cross-Site Request Forgery), qui peuvent compromettre la sécurité de votre site.

Pour cela, on va créer une classe CsrfTokenManager qui va nous permettre de générer et de valider des tokens CSRF pour chaque formulaire. Ces tokens assurent que la soumission du formulaire vient bien du site et non d’un attaquant.

Voici les principales méthodes que vous allez retrouver dans cette classe :

• getToken() : génère un nouveau token CSRF unique et le stocke dans la session utilisateur.
• isTokenValid() : valide si le token soumis avec un formulaire correspond bien à celui stocké en session, ce qui permet de vérifier l'authenticité de la requête.
• invalidateToken() : supprime le token CSRF de la session, par exemple après avoir validé un formulaire.
• getCsrfInput() : génère un champ caché HTML contenant le token CSRF à ajouter dans un formulaire pour garantir sa protection.

En utilisant cette classe, vous renforcez la sécurité de vos formulaires et protégez votre site contre les attaques CSRF.

C’est une étape indispensable pour la sécurité de votre e-commerce, donc restez bien concentré sur le code !

contenu du fichier CsrfTokenManager.php

<?php
class CsrfTokenManager{

    private string $sessionKey = '_csrf_token';
    public function __construct()
    {
        if(session_status() !== PHP_SESSION_ACTIVE){
            session_start();
        }
    }

    public function getToken():string
    {
        if(empty($_SESSION[$this->sessionKey])){
            $_SESSION[$this->sessionKey] = bin2hex(random_bytes(32));
        }
        return $_SESSION[$this->sessionKey];
    }

    public function isTokenValid(?string $token):bool
    {
        if(!$token || empty($_SESSION[$this->sessionKey])){
            return false;
        }

        return hash_equals($_SESSION[$this->sessionKey], $token);
    }
    public function invalidateToken():void
    {
        unset($_SESSION[$this->sessionKey]);
    }

    public function getCsrfInput():string
    {
        $token = $this->getToken();

        return '<input type="hidden" name="csrf_token" value="' . htmlspecialchars($token, ENT_QUOTES, 'UTF-8').'">';
    }
}

?>

.