📝 Gestion des Formulaires et Validation en PHP
Guide complet pour créer, valider et sécuriser des formulaires en PHP. Apprenez à gérer les données utilisateur, prévenir les attaques et créer des formulaires robustes avec des exemples concrets.
🎯 Objectif
Apprendre à créer des formulaires HTML robustes, comprendre les différences entre les méthodes POST et GET, implémenter une validation côté serveur efficace, et sécuriser vos formulaires contre les attaques courantes (XSS, injections SQL).
1️⃣ Création de formulaires HTML
Structure de base d'un formulaire HTML
Un formulaire HTML est constitué de balises <form> qui contiennent différents types de champs de saisie. La structure de base est essentielle pour une expérience utilisateur optimale.
Éléments essentiels d'un formulaire
Un formulaire efficace comprend plusieurs éléments clés :
- Balise
<form>: Conteneur principal avec attributs action et method - Champs de saisie :
<input>,<textarea>,<select> - Labels :
<label>pour l'accessibilité - Bouton de soumission :
<button>ou<input type="submit"> - Validation HTML5 : Attributs comme required, pattern, maxlength
<!-- ✅ FORMULAIRE HTML DE BASE -->
<form action="traitement.php" method="POST">
<!-- Champ texte avec label -->
<div>
<label for="nom">Nom :</label>
<input type="text" id="nom" name="nom" required>
</div>
<!-- Champ email -->
<div>
<label for="email">Email :</label>
<input type="email" id="email" name="email" required>
</div>
<!-- Zone de texte -->
<div>
<label for="message">Message :</label>
<textarea id="message" name="message" rows="4" required></textarea>
</div>
<!-- Liste déroulante -->
<div>
<label for="sujet">Sujet :</label>
<select id="sujet" name="sujet">
<option value="question">Question</option>
<option value="support">Support technique</option>
<option value="autre">Autre</option>
</select>
</div>
<!-- Bouton de soumission -->
<button type="submit">Envoyer le formulaire</button>
</form>
<form action="traitement.php" method="POST">
<!-- Champ texte avec label -->
<div>
<label for="nom">Nom :</label>
<input type="text" id="nom" name="nom" required>
</div>
<!-- Champ email -->
<div>
<label for="email">Email :</label>
<input type="email" id="email" name="email" required>
</div>
<!-- Zone de texte -->
<div>
<label for="message">Message :</label>
<textarea id="message" name="message" rows="4" required></textarea>
</div>
<!-- Liste déroulante -->
<div>
<label for="sujet">Sujet :</label>
<select id="sujet" name="sujet">
<option value="question">Question</option>
<option value="support">Support technique</option>
<option value="autre">Autre</option>
</select>
</div>
<!-- Bouton de soumission -->
<button type="submit">Envoyer le formulaire</button>
</form>
🔧 Bonnes pratiques pour les formulaires HTML :
- Toujours utiliser des labels pour l'accessibilité
- Grouper les champs liés avec
<fieldset>et<legend> - Utiliser les types HTML5 appropriés (email, tel, url, etc.)
- Ajouter des attributs de validation (required, pattern, min, max)
- Fournir des messages d'erreur clairs
- Penser à l'expérience mobile (tailles de champs adaptées)
2️⃣ Méthodes POST et GET
Différences fondamentales
Les méthodes HTTP POST et GET servent à envoyer des données au serveur, mais avec des caractéristiques et usages différents :
📊 Comparaison POST vs GET :
↔ Faites défiler pour voir tout le tableau
| Caractéristique | GET | POST |
|---|---|---|
| Visibilité des données | ✅ Visible dans l'URL | ❌ Invisible dans l'URL |
| Taille des données | Limité (environ 2048 caractères) | Illimité (dépend du serveur) |
| Sécurité | ❌ Moins sécurisé | ✅ Plus sécurisé |
| Mise en cache | ✅ Peut être mis en cache | ❌ Non mis en cache |
| Utilisation typique | Recherches, filtres | Inscriptions, paiements |
Récupération des données en PHP
En PHP, les données des formulaires sont accessibles via les superglobales $_GET, $_POST et $_REQUEST.
// ✅ RÉCUPÉRATION DES DONNÉES FORMULAIRE
<?php
// Vérifier si le formulaire a été soumis
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
// Récupération sécurisée des données POST
$nom = $_POST['nom'] ?? '';
$email = $_POST['email'] ?? '';
$message = $_POST['message'] ?? '';
echo "Nom : " . $nom . "<br>";
echo "Email : " . $email . "<br>";
echo "Message : " . $message . "<br>";
}
// Pour les données GET (exemple d'URL : page.php?recherche=php)
if (isset($_GET['recherche'])) {
$recherche = $_GET['recherche'];
echo "Résultats pour : " . $recherche;
}
?>
<?php
// Vérifier si le formulaire a été soumis
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
// Récupération sécurisée des données POST
$nom = $_POST['nom'] ?? '';
$email = $_POST['email'] ?? '';
$message = $_POST['message'] ?? '';
echo "Nom : " . $nom . "<br>";
echo "Email : " . $email . "<br>";
echo "Message : " . $message . "<br>";
}
// Pour les données GET (exemple d'URL : page.php?recherche=php)
if (isset($_GET['recherche'])) {
$recherche = $_GET['recherche'];
echo "Résultats pour : " . $recherche;
}
?>
⚠️ Attention à la sécurité :
Ne faites jamais confiance aux données utilisateur ! Toujours valider et filtrer les données avant de les utiliser. Les superglobales $_GET, $_POST et $_REQUEST contiennent des données brutes potentiellement dangereuses.
3️⃣ Validation côté serveur
Pourquoi la validation côté serveur est essentielle
La validation côté client (HTML/JavaScript) peut être contournée. La validation côté serveur est donc indispensable pour garantir l'intégrité et la sécurité des données.
Types de validation
Plusieurs types de validation doivent être implémentés côté serveur :
// ✅ VALIDATION COMPLÈTE CÔTÉ SERVEUR
<?php
// Tableau pour stocker les erreurs
$erreurs = [];
// Fonction de nettoyage de base
function nettoyerInput($data) {
$data = trim($data);
$data = stripslashes($data);
$data = htmlspecialchars($data);
return $data;
}
// Vérifier si le formulaire a été soumis
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
// VALIDATION DU NOM
if (empty($_POST['nom'])) {
$erreurs['nom'] = "Le nom est obligatoire";
} else {
$nom = nettoyerInput($_POST['nom']);
// Validation de la longueur
if (strlen($nom) < 2 || strlen($nom) > 50) {
$erreurs['nom'] = "Le nom doit contenir entre 2 et 50 caractères";
}
// Validation du format (lettres, espaces, apostrophes)
elseif (!preg_match("/^[a-zA-ZÀ-ÿ\s\-']+$/", $nom)) {
$erreurs['nom'] = "Le nom ne peut contenir que des lettres, espaces et tirets";
}
}
// VALIDATION DE L'EMAIL
if (empty($_POST['email'])) {
$erreurs['email'] = "L'email est obligatoire";
} else {
$email = nettoyerInput($_POST['email']);
// Validation du format email
if (!filter_var($email, FILTER_VALIDATE_EMAIL)) {
$erreurs['email'] = "Format d'email invalide";
}
}
// VALIDATION DU MOT DE PASSE
if (empty($_POST['password'])) {
$erreurs['password'] = "Le mot de passe est obligatoire";
} else {
$password = $_POST['password'];
// Validation de la longueur minimale
if (strlen($password) < 8) {
$erreurs['password'] = "Le mot de passe doit contenir au moins 8 caractères";
}
// Validation de la complexité
elseif (!preg_match("/^(?=.*[a-z])(?=.*[A-Z])(?=.*\d)(?=.*[@$!%*?&])[A-Za-z\d@$!%*?&]/", $password)) {
$erreurs['password'] = "Le mot de passe doit contenir au moins une majuscule, une minuscule, un chiffre et un caractère spécial";
}
}
// Si aucune erreur, traiter les données
if (empty($erreurs)) {
// Hachage du mot de passe
$passwordHash = password_hash($password, PASSWORD_DEFAULT);
// Traitement des données (ex: enregistrement en base)
echo "✅ Formulaire validé avec succès !<br>";
echo "Nom : " . $nom . "<br>";
echo "Email : " . $email . "<br>";
echo "Mot de passe hashé : " . $passwordHash . "<br>";
} else {
// Afficher les erreurs
echo "❌ Erreurs de validation :<br>";
foreach ($erreurs as $champ => $erreur) {
echo "- $champ : $erreur<br>";
}
}
}
?>
<?php
// Tableau pour stocker les erreurs
$erreurs = [];
// Fonction de nettoyage de base
function nettoyerInput($data) {
$data = trim($data);
$data = stripslashes($data);
$data = htmlspecialchars($data);
return $data;
}
// Vérifier si le formulaire a été soumis
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
// VALIDATION DU NOM
if (empty($_POST['nom'])) {
$erreurs['nom'] = "Le nom est obligatoire";
} else {
$nom = nettoyerInput($_POST['nom']);
// Validation de la longueur
if (strlen($nom) < 2 || strlen($nom) > 50) {
$erreurs['nom'] = "Le nom doit contenir entre 2 et 50 caractères";
}
// Validation du format (lettres, espaces, apostrophes)
elseif (!preg_match("/^[a-zA-ZÀ-ÿ\s\-']+$/", $nom)) {
$erreurs['nom'] = "Le nom ne peut contenir que des lettres, espaces et tirets";
}
}
// VALIDATION DE L'EMAIL
if (empty($_POST['email'])) {
$erreurs['email'] = "L'email est obligatoire";
} else {
$email = nettoyerInput($_POST['email']);
// Validation du format email
if (!filter_var($email, FILTER_VALIDATE_EMAIL)) {
$erreurs['email'] = "Format d'email invalide";
}
}
// VALIDATION DU MOT DE PASSE
if (empty($_POST['password'])) {
$erreurs['password'] = "Le mot de passe est obligatoire";
} else {
$password = $_POST['password'];
// Validation de la longueur minimale
if (strlen($password) < 8) {
$erreurs['password'] = "Le mot de passe doit contenir au moins 8 caractères";
}
// Validation de la complexité
elseif (!preg_match("/^(?=.*[a-z])(?=.*[A-Z])(?=.*\d)(?=.*[@$!%*?&])[A-Za-z\d@$!%*?&]/", $password)) {
$erreurs['password'] = "Le mot de passe doit contenir au moins une majuscule, une minuscule, un chiffre et un caractère spécial";
}
}
// Si aucune erreur, traiter les données
if (empty($erreurs)) {
// Hachage du mot de passe
$passwordHash = password_hash($password, PASSWORD_DEFAULT);
// Traitement des données (ex: enregistrement en base)
echo "✅ Formulaire validé avec succès !<br>";
echo "Nom : " . $nom . "<br>";
echo "Email : " . $email . "<br>";
echo "Mot de passe hashé : " . $passwordHash . "<br>";
} else {
// Afficher les erreurs
echo "❌ Erreurs de validation :<br>";
foreach ($erreurs as $champ => $erreur) {
echo "- $champ : $erreur<br>";
}
}
}
?>
Fonctions de validation utiles
PHP propose plusieurs fonctions natives pour la validation :
// ✅ FONCTIONS DE VALIDATION NATIVES PHP
<?php
// Validation d'email
filter_var("test@example.com", FILTER_VALIDATE_EMAIL); // retourne l'email ou false
// Validation d'URL
filter_var("https://example.com", FILTER_VALIDATE_URL);
// Validation d'IP
filter_var("192.168.1.1", FILTER_VALIDATE_IP);
// Validation de nombre entier
filter_var("42", FILTER_VALIDATE_INT);
// Validation avec expressions régulières
preg_match("/^[a-zA-Z0-9]+$/", "username123"); // retourne 1 si valide
// Validation de date
checkdate(12, 31, 2023); // retourne true si date valide
// Validation de longueur
strlen("texte") >= 5; // longueur minimale
strlen("texte") <= 100; // longueur maximale
?>
<?php
// Validation d'email
filter_var("test@example.com", FILTER_VALIDATE_EMAIL); // retourne l'email ou false
// Validation d'URL
filter_var("https://example.com", FILTER_VALIDATE_URL);
// Validation d'IP
filter_var("192.168.1.1", FILTER_VALIDATE_IP);
// Validation de nombre entier
filter_var("42", FILTER_VALIDATE_INT);
// Validation avec expressions régulières
preg_match("/^[a-zA-Z0-9]+$/", "username123"); // retourne 1 si valide
// Validation de date
checkdate(12, 31, 2023); // retourne true si date valide
// Validation de longueur
strlen("texte") >= 5; // longueur minimale
strlen("texte") <= 100; // longueur maximale
?>
4️⃣ Sécurisation des formulaires
Pourquoi la sécurité est cruciale
Les formulaires sont une porte d'entrée courante pour les attaques. Une sécurisation appropriée est essentielle pour protéger votre application et vos utilisateurs.
Prévention des attaques XSS (Cross-Site Scripting)
Les attaques XSS injectent du code malveillant dans vos pages web. Pour les prévenir :
// ✅ PRÉVENTION DES ATTAQUES XSS
<?php
// DONNÉES NON SÉCURISÉES (DANGEREUX !)
$commentaireDangereux = $_POST['commentaire'];
echo "Commentaire : " . $commentaireDangereux; // ❌ Risque XSS !
// DONNÉES SÉCURISÉES
$commentaireSecurise = htmlspecialchars($_POST['commentaire'], ENT_QUOTES, 'UTF-8');
echo "Commentaire : " . $commentaireSecurise; // ✅ Sécurisé
// Fonction utilitaire pour sécuriser l'affichage
function securiserAffichage($data) {
return htmlspecialchars($data, ENT_QUOTES, 'UTF-8');
}
// Utilisation
echo "Nom : " . securiserAffichage($nom);
echo "Email : " . securiserAffichage($email);
?>
<?php
// DONNÉES NON SÉCURISÉES (DANGEREUX !)
$commentaireDangereux = $_POST['commentaire'];
echo "Commentaire : " . $commentaireDangereux; // ❌ Risque XSS !
// DONNÉES SÉCURISÉES
$commentaireSecurise = htmlspecialchars($_POST['commentaire'], ENT_QUOTES, 'UTF-8');
echo "Commentaire : " . $commentaireSecurise; // ✅ Sécurisé
// Fonction utilitaire pour sécuriser l'affichage
function securiserAffichage($data) {
return htmlspecialchars($data, ENT_QUOTES, 'UTF-8');
}
// Utilisation
echo "Nom : " . securiserAffichage($nom);
echo "Email : " . securiserAffichage($email);
?>
Prévention des injections SQL
Les injections SQL permettent d'exécuter du code SQL malveillant. Utilisez les requêtes préparées :
// ✅ PRÉVENTION DES INJECTIONS SQL
<?php
// MÉTHODE DANGEREUSE (à éviter !)
$username = $_POST['username'];
$sqlDangereux = "SELECT * FROM users WHERE username = $username";
// ❌ Risque d'injection SQL si $username = "admin' OR '1'='1"
// MÉTHODE SÉCURISÉE : REQUÊTES PRÉPARÉES
try {
// Connexion PDO
$pdo = new PDO("mysql:host=localhost;dbname=ma_base;charset=utf8", "username", "password");
$pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
// Requête préparée
$sqlSecurise = "SELECT * FROM users WHERE username = :username AND email = :email";
$stmt = $pdo->prepare($sqlSecurise);
// Liaison des paramètres
$stmt->bindParam(':username', $username, PDO::PARAM_STR);
$stmt->bindParam(':email', $email, PDO::PARAM_STR);
// Exécution
$stmt->execute();
// Récupération des résultats
$user = $stmt->fetch(PDO::FETCH_ASSOC);
if ($user) {
echo "Utilisateur trouvé : " . securiserAffichage($user['username']);
} else {
echo "Aucun utilisateur trouvé";
}
} catch (PDOException $e) {
echo "Erreur de base de données : " . securiserAffichage($e->getMessage());
}
?>
<?php
// MÉTHODE DANGEREUSE (à éviter !)
$username = $_POST['username'];
$sqlDangereux = "SELECT * FROM users WHERE username = $username";
// ❌ Risque d'injection SQL si $username = "admin' OR '1'='1"
// MÉTHODE SÉCURISÉE : REQUÊTES PRÉPARÉES
try {
// Connexion PDO
$pdo = new PDO("mysql:host=localhost;dbname=ma_base;charset=utf8", "username", "password");
$pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
// Requête préparée
$sqlSecurise = "SELECT * FROM users WHERE username = :username AND email = :email";
$stmt = $pdo->prepare($sqlSecurise);
// Liaison des paramètres
$stmt->bindParam(':username', $username, PDO::PARAM_STR);
$stmt->bindParam(':email', $email, PDO::PARAM_STR);
// Exécution
$stmt->execute();
// Récupération des résultats
$user = $stmt->fetch(PDO::FETCH_ASSOC);
if ($user) {
echo "Utilisateur trouvé : " . securiserAffichage($user['username']);
} else {
echo "Aucun utilisateur trouvé";
}
} catch (PDOException $e) {
echo "Erreur de base de données : " . securiserAffichage($e->getMessage());
}
?>
Protection CSRF (Cross-Site Request Forgery)
Les attaques CSRF exploitent la confiance d'un site envers un utilisateur authentifié. Utilisez des tokens :
// ✅ PROTECTION CSRF AVEC TOKENS
<?php
// Génération du token CSRF
function genererTokenCSRF() {
if (empty($_SESSION['csrf_token'])) {
$_SESSION['csrf_token'] = bin2hex(random_bytes(32));
}
return $_SESSION['csrf_token'];
}
// Vérification du token CSRF
function verifierTokenCSRF($token) {
return isset($_SESSION['csrf_token']) && hash_equals($_SESSION['csrf_token'], $token);
}
// Dans le formulaire HTML
echo '<input type="hidden" name="csrf_token" value="' . genererTokenCSRF() . '">';
// Lors du traitement du formulaire
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
if (!verifierTokenCSRF($_POST['csrf_token'] ?? '')) {
die("Erreur de sécurité : token CSRF invalide");
}
// Continuer le traitement...
}
?>
<?php
// Génération du token CSRF
function genererTokenCSRF() {
if (empty($_SESSION['csrf_token'])) {
$_SESSION['csrf_token'] = bin2hex(random_bytes(32));
}
return $_SESSION['csrf_token'];
}
// Vérification du token CSRF
function verifierTokenCSRF($token) {
return isset($_SESSION['csrf_token']) && hash_equals($_SESSION['csrf_token'], $token);
}
// Dans le formulaire HTML
echo '<input type="hidden" name="csrf_token" value="' . genererTokenCSRF() . '">';
// Lors du traitement du formulaire
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
if (!verifierTokenCSRF($_POST['csrf_token'] ?? '')) {
die("Erreur de sécurité : token CSRF invalide");
}
// Continuer le traitement...
}
?>
🛡️ Checklist de sécurité des formulaires :
- ✅ Validation côté serveur pour tous les champs
- ✅ Échappement HTML avec
htmlspecialchars() - ✅ Requêtes préparées pour les bases de données
- ✅ Tokens CSRF pour les formulaires sensibles
- ✅ Limitation des tentatives pour prévenir les bruteforce
- ✅ Hachage sécurisé des mots de passe
- ✅ Headers de sécurité (Content-Security-Policy)
5️⃣ Exemple pratique : formulaire d'inscription
Appliquons maintenant tous les concepts vus précédemment dans un formulaire d'inscription complet :
// ✅ FORMULAIRE D'INSCRIPTION COMPLET
<?php
// Démarrer la session pour le token CSRF
session_start();
// Fonctions utilitaires
function nettoyerInput($data) {
$data = trim($data);
$data = stripslashes($data);
$data = htmlspecialchars($data, ENT_QUOTES, 'UTF-8');
return $data;
}
function genererTokenCSRF() {
if (empty($_SESSION['csrf_token'])) {
$_SESSION['csrf_token'] = bin2hex(random_bytes(32));
}
return $_SESSION['csrf_token'];
}
function verifierTokenCSRF($token) {
return isset($_SESSION['csrf_token']) && hash_equals($_SESSION['csrf_token'], $token);
}
// Variables
$erreurs = [];
$succes = false;
$valeurs = [
'nom' => '',
'email' => '',
'username' => ''
];
// Traitement du formulaire
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
// Vérification CSRF
if (!verifierTokenCSRF($_POST['csrf_token'] ?? '')) {
$erreurs['general'] = "Erreur de sécurité. Veuillez réessayer.";
}
// Récupération et validation des données
$nom = nettoyerInput($_POST['nom'] ?? '');
$email = nettoyerInput($_POST['email'] ?? '');
$username = nettoyerInput($_POST['username'] ?? '');
$password = $_POST['password'] ?? '';
$confirm_password = $_POST['confirm_password'] ?? '';
// Sauvegarder les valeurs pour réaffichage
$valeurs = compact('nom', 'email', 'username');
// Validation du nom
if (empty($nom)) {
$erreurs['nom'] = "Le nom est obligatoire";
} elseif (strlen($nom) < 2 || strlen($nom) > 50) {
$erreurs['nom'] = "Le nom doit contenir entre 2 et 50 caractères";
}
// Validation de l'email
if (empty($email)) {
$erreurs['email'] = "L'email est obligatoire";
} elseif (!filter_var($email, FILTER_VALIDATE_EMAIL)) {
$erreurs['email'] = "Format d'email invalide";
}
// Validation du nom d'utilisateur
if (empty($username)) {
$erreurs['username'] = "Le nom d'utilisateur est obligatoire";
} elseif (strlen($username) < 3 || strlen($username) > 20) {
$erreurs['username'] = "Le nom d'utilisateur doit contenir entre 3 et 20 caractères";
} elseif (!preg_match("/^[a-zA-Z0-9_]+$/", $username)) {
$erreurs['username'] = "Le nom d'utilisateur ne peut contenir que des lettres, chiffres et underscores";
}
// Validation du mot de passe
if (empty($password)) {
$erreurs['password'] = "Le mot de passe est obligatoire";
} elseif (strlen($password) < 8) {
$erreurs['password'] = "Le mot de passe doit contenir au moins 8 caractères";
} elseif (!preg_match("/^(?=.*[a-z])(?=.*[A-Z])(?=.*\d)/", $password)) {
$erreurs['password'] = "Le mot de passe doit contenir au moins une majuscule, une minuscule et un chiffre";
}
// Validation de la confirmation du mot de passe
if ($password !== $confirm_password) {
$erreurs['confirm_password'] = "Les mots de passe ne correspondent pas";
}
// Si aucune erreur, traitement des données
if (empty($erreurs)) {
// Hachage sécurisé du mot de passe
$passwordHash = password_hash($password, PASSWORD_DEFAULT);
// Ici, vous pourriez enregistrer en base de données
// Exemple avec PDO (requêtes préparées)
try {
$pdo = new PDO("mysql:host=localhost;dbname=ma_base;charset=utf8", "user", "pass");
$sql = "INSERT INTO users (nom, email, username, password) VALUES (:nom, :email, :username, :password)";
$stmt = $pdo->prepare($sql);
$stmt->execute([
':nom' => $nom,
':email' => $email,
':username' => $username,
':password' => $passwordHash
]);
$succes = true;
// Réinitialiser les valeurs
$valeurs = ['nom' => '', 'email' => '', 'username' => ''];
} catch (PDOException $e) {
// Gérer les erreurs de base de données (ex: email déjà utilisé)
if ($e->getCode() === '23000') { // Violation de contrainte d'unicité
$erreurs['email'] = "Cet email est déjà utilisé";
} else {
$erreurs['general'] = "Erreur lors de l'inscription. Veuillez réessayer.";
}
}
}
}
?>
<!DOCTYPE html>
<html lang="fr">
<head>
<meta charset="UTF-8">
<title>Inscription</title>
<style>
.erreur { color: red; font-size: 0.9em; }
.succes { color: green; font-size: 1.1em; font-weight: bold; }
.form-group { margin-bottom: 15px; }
label { display: block; margin-bottom: 5px; }
input { width: 100%; padding: 8px; border: 1px solid #ddd; border-radius: 4px; }
input.erreur-input { border-color: red; }
</style>
</head>
<body>
<h1>Inscription</h1>
<?php if ($succes): ?>
<div class="succes">
✅ Inscription réussie ! Bienvenue <?php echo securiserAffichage($nom); ?>
</div>
<?php elseif (isset($erreurs['general'])): ?>
<div class="erreur">
❌ <?php echo securiserAffichage($erreurs['general']); ?>
</div>
<?php endif; ?>
<form method="POST">
<input type="hidden" name="csrf_token" value="<?php echo genererTokenCSRF(); ?>">
<!-- Champ Nom -->
<div class="form-group">
<label for="nom">Nom complet :</label>
<input type="text" id="nom" name="nom" value="<?php echo securiserAffichage($valeurs['nom']); ?>"
<?php echo isset($erreurs['nom']) ? 'class="erreur-input"' : ''; ?>>
<?php if (isset($erreurs['nom'])): ?>
<div class="erreur"><?php echo securiserAffichage($erreurs['nom']); ?></div>
<?php endif; ?>
</div>
<!-- Champ Email -->
<div class="form-group">
<label for="email">Email :</label>
<input type="email" id="email" name="email" value="<?php echo securiserAffichage($valeurs['email']); ?>"
<?php echo isset($erreurs['email']) ? 'class="erreur-input"' : ''; ?>>
<?php if (isset($erreurs['email'])): ?>
<div class="erreur"><?php echo securiserAffichage($erreurs['email']); ?></div>
<?php endif; ?>
</div>
<!-- Champ Username -->
<div class="form-group">
<label for="username">Nom d'utilisateur :</label>
<input type="text" id="username" name="username" value="<?php echo securiserAffichage($valeurs['username']); ?>"
<?php echo isset($erreurs['username']) ? 'class="erreur-input"' : ''; ?>>
<?php if (isset($erreurs['username'])): ?>
<div class="erreur"><?php echo securiserAffichage($erreurs['username']); ?></div>
<?php endif; ?>
</div>
<!-- Champ Mot de passe -->
<div class="form-group">
<label for="password">Mot de passe :</label>
<input type="password" id="password" name="password"
<?php echo isset($erreurs['password']) ? 'class="erreur-input"' : ''; ?>>
<?php if (isset($erreurs['password'])): ?>
<div class="erreur"><?php echo securiserAffichage($erreurs['password']); ?></div>
<?php endif; ?>
</div>
<!-- Champ Confirmation mot de passe -->
<div class="form-group">
<label for="confirm_password">Confirmer le mot de passe :</label>
<input type="password" id="confirm_password" name="confirm_password"
<?php echo isset($erreurs['confirm_password']) ? 'class="erreur-input"' : ''; ?>>
<?php if (isset($erreurs['confirm_password'])): ?>
<div class="erreur"><?php echo securiserAffichage($erreurs['confirm_password']); ?></div>
<?php endif; ?>
</div>
<button type="submit">S'inscrire</button>
</form>
</body>
</html>
<?php
// Démarrer la session pour le token CSRF
session_start();
// Fonctions utilitaires
function nettoyerInput($data) {
$data = trim($data);
$data = stripslashes($data);
$data = htmlspecialchars($data, ENT_QUOTES, 'UTF-8');
return $data;
}
function genererTokenCSRF() {
if (empty($_SESSION['csrf_token'])) {
$_SESSION['csrf_token'] = bin2hex(random_bytes(32));
}
return $_SESSION['csrf_token'];
}
function verifierTokenCSRF($token) {
return isset($_SESSION['csrf_token']) && hash_equals($_SESSION['csrf_token'], $token);
}
// Variables
$erreurs = [];
$succes = false;
$valeurs = [
'nom' => '',
'email' => '',
'username' => ''
];
// Traitement du formulaire
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
// Vérification CSRF
if (!verifierTokenCSRF($_POST['csrf_token'] ?? '')) {
$erreurs['general'] = "Erreur de sécurité. Veuillez réessayer.";
}
// Récupération et validation des données
$nom = nettoyerInput($_POST['nom'] ?? '');
$email = nettoyerInput($_POST['email'] ?? '');
$username = nettoyerInput($_POST['username'] ?? '');
$password = $_POST['password'] ?? '';
$confirm_password = $_POST['confirm_password'] ?? '';
// Sauvegarder les valeurs pour réaffichage
$valeurs = compact('nom', 'email', 'username');
// Validation du nom
if (empty($nom)) {
$erreurs['nom'] = "Le nom est obligatoire";
} elseif (strlen($nom) < 2 || strlen($nom) > 50) {
$erreurs['nom'] = "Le nom doit contenir entre 2 et 50 caractères";
}
// Validation de l'email
if (empty($email)) {
$erreurs['email'] = "L'email est obligatoire";
} elseif (!filter_var($email, FILTER_VALIDATE_EMAIL)) {
$erreurs['email'] = "Format d'email invalide";
}
// Validation du nom d'utilisateur
if (empty($username)) {
$erreurs['username'] = "Le nom d'utilisateur est obligatoire";
} elseif (strlen($username) < 3 || strlen($username) > 20) {
$erreurs['username'] = "Le nom d'utilisateur doit contenir entre 3 et 20 caractères";
} elseif (!preg_match("/^[a-zA-Z0-9_]+$/", $username)) {
$erreurs['username'] = "Le nom d'utilisateur ne peut contenir que des lettres, chiffres et underscores";
}
// Validation du mot de passe
if (empty($password)) {
$erreurs['password'] = "Le mot de passe est obligatoire";
} elseif (strlen($password) < 8) {
$erreurs['password'] = "Le mot de passe doit contenir au moins 8 caractères";
} elseif (!preg_match("/^(?=.*[a-z])(?=.*[A-Z])(?=.*\d)/", $password)) {
$erreurs['password'] = "Le mot de passe doit contenir au moins une majuscule, une minuscule et un chiffre";
}
// Validation de la confirmation du mot de passe
if ($password !== $confirm_password) {
$erreurs['confirm_password'] = "Les mots de passe ne correspondent pas";
}
// Si aucune erreur, traitement des données
if (empty($erreurs)) {
// Hachage sécurisé du mot de passe
$passwordHash = password_hash($password, PASSWORD_DEFAULT);
// Ici, vous pourriez enregistrer en base de données
// Exemple avec PDO (requêtes préparées)
try {
$pdo = new PDO("mysql:host=localhost;dbname=ma_base;charset=utf8", "user", "pass");
$sql = "INSERT INTO users (nom, email, username, password) VALUES (:nom, :email, :username, :password)";
$stmt = $pdo->prepare($sql);
$stmt->execute([
':nom' => $nom,
':email' => $email,
':username' => $username,
':password' => $passwordHash
]);
$succes = true;
// Réinitialiser les valeurs
$valeurs = ['nom' => '', 'email' => '', 'username' => ''];
} catch (PDOException $e) {
// Gérer les erreurs de base de données (ex: email déjà utilisé)
if ($e->getCode() === '23000') { // Violation de contrainte d'unicité
$erreurs['email'] = "Cet email est déjà utilisé";
} else {
$erreurs['general'] = "Erreur lors de l'inscription. Veuillez réessayer.";
}
}
}
}
?>
<!DOCTYPE html>
<html lang="fr">
<head>
<meta charset="UTF-8">
<title>Inscription</title>
<style>
.erreur { color: red; font-size: 0.9em; }
.succes { color: green; font-size: 1.1em; font-weight: bold; }
.form-group { margin-bottom: 15px; }
label { display: block; margin-bottom: 5px; }
input { width: 100%; padding: 8px; border: 1px solid #ddd; border-radius: 4px; }
input.erreur-input { border-color: red; }
</style>
</head>
<body>
<h1>Inscription</h1>
<?php if ($succes): ?>
<div class="succes">
✅ Inscription réussie ! Bienvenue <?php echo securiserAffichage($nom); ?>
</div>
<?php elseif (isset($erreurs['general'])): ?>
<div class="erreur">
❌ <?php echo securiserAffichage($erreurs['general']); ?>
</div>
<?php endif; ?>
<form method="POST">
<input type="hidden" name="csrf_token" value="<?php echo genererTokenCSRF(); ?>">
<!-- Champ Nom -->
<div class="form-group">
<label for="nom">Nom complet :</label>
<input type="text" id="nom" name="nom" value="<?php echo securiserAffichage($valeurs['nom']); ?>"
<?php echo isset($erreurs['nom']) ? 'class="erreur-input"' : ''; ?>>
<?php if (isset($erreurs['nom'])): ?>
<div class="erreur"><?php echo securiserAffichage($erreurs['nom']); ?></div>
<?php endif; ?>
</div>
<!-- Champ Email -->
<div class="form-group">
<label for="email">Email :</label>
<input type="email" id="email" name="email" value="<?php echo securiserAffichage($valeurs['email']); ?>"
<?php echo isset($erreurs['email']) ? 'class="erreur-input"' : ''; ?>>
<?php if (isset($erreurs['email'])): ?>
<div class="erreur"><?php echo securiserAffichage($erreurs['email']); ?></div>
<?php endif; ?>
</div>
<!-- Champ Username -->
<div class="form-group">
<label for="username">Nom d'utilisateur :</label>
<input type="text" id="username" name="username" value="<?php echo securiserAffichage($valeurs['username']); ?>"
<?php echo isset($erreurs['username']) ? 'class="erreur-input"' : ''; ?>>
<?php if (isset($erreurs['username'])): ?>
<div class="erreur"><?php echo securiserAffichage($erreurs['username']); ?></div>
<?php endif; ?>
</div>
<!-- Champ Mot de passe -->
<div class="form-group">
<label for="password">Mot de passe :</label>
<input type="password" id="password" name="password"
<?php echo isset($erreurs['password']) ? 'class="erreur-input"' : ''; ?>>
<?php if (isset($erreurs['password'])): ?>
<div class="erreur"><?php echo securiserAffichage($erreurs['password']); ?></div>
<?php endif; ?>
</div>
<!-- Champ Confirmation mot de passe -->
<div class="form-group">
<label for="confirm_password">Confirmer le mot de passe :</label>
<input type="password" id="confirm_password" name="confirm_password"
<?php echo isset($erreurs['confirm_password']) ? 'class="erreur-input"' : ''; ?>>
<?php if (isset($erreurs['confirm_password'])): ?>
<div class="erreur"><?php echo securiserAffichage($erreurs['confirm_password']); ?></div>
<?php endif; ?>
</div>
<button type="submit">S'inscrire</button>
</form>
</body>
</html>
6️⃣ Conclusion
✅ Récapitulatif des bonnes pratiques :
- Validation côté serveur obligatoire pour tous les champs
- Échappement HTML systématique avec
htmlspecialchars() - Requêtes préparées pour toutes les interactions base de données
- Tokens CSRF pour les formulaires sensibles
- Hachage sécurisé des mots de passe avec
password_hash() - Messages d'erreur clairs et informatifs
- Expérience utilisateur fluide avec réaffichage des valeurs
Pour aller plus loin
- Validation avancée : Expressions régulières complexes, validation de fichiers
- Sécurité renforcée : Rate limiting, CAPTCHA, validation en temps réel
- UX améliorée : Validation côté client synchronisée, messages contextuels
- Accessibilité : ARIA labels, navigation au clavier, lecteurs d'écran
- Performance : Validation asynchrone, lazy loading des composants
🔐 Maîtrisez les sessions et l'authentification en PHP !
La sécurité des utilisateurs est fondamentale pour toute application web moderne.
👉 Découvrez notre tutoriel complet : "Sessions PHP et Système d'Authentification Sécurisé"
Apprenez à gérer les sessions utilisateur, créer un système d'authentification robuste et sécuriser l'accès à vos applications avec des méthodes professionnelles.
Questions Fréquentes sur les Formulaires PHP
Quelle est la différence entre validation côté client et côté serveur ?
La validation côté client (HTML/JavaScript) améliore l'expérience utilisateur en fournissant un feedback immédiat, mais peut être contournée. La validation côté serveur (PHP) est essentielle pour la sécurité et l'intégrité des données, car elle ne peut pas être contournée. Les deux sont complémentaires.
Quand utiliser POST vs GET pour un formulaire ?
Utilisez POST pour les actions qui modifient des données (inscription, paiement, modification). Utilisez GET pour les recherches, filtres et actions qui ne modifient pas les données. POST est plus sécurisé car les données ne sont pas visibles dans l'URL.
Comment sécuriser efficacement un formulaire contre les attaques ?
Plusieurs mesures sont essentielles : validation côté serveur stricte, échappement HTML avec htmlspecialchars(), requêtes préparées pour la base de données, tokens CSRF, limitation des tentatives, et hachage sécurisé des mots de passe.
Qu'est-ce qu'une attaque XSS et comment la prévenir ?
Les attaques XSS (Cross-Site Scripting) injectent du code JavaScript malveillant dans vos pages. Pour les prévenir, utilisez systématiquement htmlspecialchars() avant d'afficher des données utilisateur, et validez strictement tous les inputs.
Comment gérer les erreurs de validation de manière user-friendly ?
Stockez les erreurs dans un tableau associatif, réaffichez les valeurs saisies, surlignez les champs en erreur, et fournissez des messages clairs et spécifiques. Évitez les messages techniques et privilégiez des instructions actionnables.
