petites améliorations au système de mot de passe

7 files changed, 70 insertions, 51 deletions

diff --git a/public/css/calendar.css b/public/css/calendar.css
index ba9a462..1cfb0fd 100644
--- a/public/css/calendar.css
+++ b/public/css/calendar.css
@@ -34,6 +34,10 @@ td .fc-timegrid-axis{
 .fc-day-other{
     background-color: #f0f0f0;
 }
+.fc-daygrid-day:not(.fc-day-other, .fc-day-today){
+    background-color: #ffffff;
+}
+
 .fc-daygrid-day-top{
     justify-content: center;
 }
diff --git a/public/index.php b/public/index.php
index d6ca8d4..56af032 100644
--- a/public/index.php
+++ b/public/index.php
@@ -31,6 +31,10 @@ ini_set('session.use_strict_mode', 'On');
 ini_set('session.cookie_secure', 'On');
 session_start();
 $_SESSION['admin'] = !isset($_SESSION['admin']) ? false : $_SESSION['admin']; // intialisation sur faux
+if($_SESSION['admin'] === false || empty($_SESSION['user'])){ // OUT !!
+    $_SESSION['user'] = '';
+    $_SESSION['admin'] = false;
+}
 
 // login, mot de passe et captcha
 require '../src/controller/password.php';
@@ -49,8 +53,8 @@ require '../src/controller/post.php';
 $id = '';
 if(!empty($_GET['id']))
 {
-    //$id = (int)$_GET['id']; // (int) = moyen basique d'éviter les injections
-    $id = Security::secureString($_GET['id']);
+    $id = (int)$_GET['id']; // (int) évite les injections, pas parfait d'après chatgpt
+    //$id = Security::quelqueChose($_GET['id']);
 }
 
 if(isset($_GET['action']) && $_GET['action'] === 'deconnexion')
diff --git a/src/controller/ajax_calendar.php b/src/controller/ajax_calendar_admin.php
index 79268f6..0baf73e 100644
--- a/src/controller/ajax_calendar.php
+++ b/src/controller/ajax_calendar_admin.php
@@ -1,45 +1,12 @@
 <?php
-// src/controller/calendar.php
+// src/controller/ajax_calendar_admin.php
 
 declare(strict_types=1);
 
 use App\Entity\Event;
 
-// chargement des évènements à la création du calendrier
-// et au changement de dates affichées (boutons flèches mais pas changement de vue)
-if($_SERVER['REQUEST_METHOD'] === 'GET' && isset($_GET['action']) && $_GET['action'] === 'get_events'
-    && isset($_GET['start']) && isset($_GET['end']) && empty($_POST))
-{
-        // bornes début et fin du calendrier affiché à l'heure locale
-    // noter que la vue "planning" est similaire à la vue "semaine"
-    $start = new DateTime($_GET['start']);
-    $end = new DateTime($_GET['end']);
-    $start->setTimezone(new DateTimeZone('UTC'));
-    $end->setTimezone(new DateTimeZone('UTC'));
-
-    // affichage format ISO à l'heure UTC
-    //$date->format('Y-m-d\TH:i:s\Z');
-
-    // on prend les évènements se finissant après le début ou commençant avant la fin de la fourchette
-    $dql = 'SELECT e FROM App\Entity\Event e WHERE e.end >= :start AND e.start <= :end';
-    $bulk_data = $entityManager->createQuery($dql)
-        ->setParameter('start', $start)
-        ->setParameter('end', $end)
-        ->getResult();
-
-    $events = [];
-    foreach($bulk_data as $one_entry){
-        $event = new EventDTO($one_entry);
-        $events[] = $event->toArray();
-    }
-
-    header('Content-Type: application/json');
-    echo json_encode($events);
-    die;
-}
-
 // actions sur le calendrier
-elseif(isset($_SESSION['admin']) && $_SESSION['admin'] === true
+if(isset($_SESSION['admin']) && $_SESSION['admin'] === true
         && $_SERVER['REQUEST_METHOD'] === 'POST' && $_SERVER['CONTENT_TYPE'] === 'application/json')
 {
         $data = file_get_contents('php://input');
diff --git a/src/controller/ajax_calendar_visitor.php b/src/controller/ajax_calendar_visitor.php
new file mode 100644
index 0000000..dcdbebd
--- /dev/null
+++ b/src/controller/ajax_calendar_visitor.php
@@ -0,0 +1,39 @@
+<?php
+// src/controller/ajax_calendar_visitor.php
+
+declare(strict_types=1);
+
+use App\Entity\Event;
+
+// chargement des évènements à la création du calendrier
+// et au changement de dates affichées (boutons flèches mais pas changement de vue)
+if($_SERVER['REQUEST_METHOD'] === 'GET' && isset($_GET['action']) && $_GET['action'] === 'get_events'
+    && isset($_GET['start']) && isset($_GET['end']) && empty($_POST))
+{
+        // bornes début et fin du calendrier affiché à l'heure locale
+    // noter que la vue "planning" est similaire à la vue "semaine"
+    $start = new DateTime($_GET['start']);
+    $end = new DateTime($_GET['end']);
+    $start->setTimezone(new DateTimeZone('UTC'));
+    $end->setTimezone(new DateTimeZone('UTC'));
+
+    // affichage format ISO à l'heure UTC
+    //$date->format('Y-m-d\TH:i:s\Z');
+
+    // on prend les évènements se finissant après le début ou commençant avant la fin de la fourchette
+    $dql = 'SELECT e FROM App\Entity\Event e WHERE e.end >= :start AND e.start <= :end';
+    $bulk_data = $entityManager->createQuery($dql)
+        ->setParameter('start', $start)
+        ->setParameter('end', $end)
+        ->getResult();
+
+    $events = [];
+    foreach($bulk_data as $one_entry){
+        $event = new EventDTO($one_entry);
+        $events[] = $event->toArray();
+    }
+
+    header('Content-Type: application/json');
+    echo json_encode($events);
+    die;
+}
\ No newline at end of file
diff --git a/src/controller/password.php b/src/controller/password.php
index 5573a33..62b1542 100644
--- a/src/controller/password.php
+++ b/src/controller/password.php
@@ -86,7 +86,7 @@ function createPassword(EntityManager $entityManager)
                 }
                 else
                 {
-                        $error = 'bad_password';
+                        $error = 'bad_login_or_password';
 
                         // compteur dans la session et blocage de compte
                 }
@@ -217,15 +217,6 @@ function changePassword(EntityManager $entityManager)
 {
         // fonction exécutée à priori deux fois d'affilée: affichage puis traitement de la saisie
 
-        // OUT !!
-        if(empty($_SESSION['user']) || !$_SESSION['admin'])
-        {
-                $_SESSION['user'] = '';
-                $_SESSION['admin'] = false;
-                header('Location: index.php');
-                die;
-        }
-
         // II - traitement
         $error = '';
         $success = false;
@@ -254,6 +245,9 @@ function changePassword(EntityManager $entityManager)
                 {
                         $error = 'forbidden_characters';
                 }
+                elseif($login !== $_SESSION['user']){
+                        $error = 'bad_login_or_password';
+                }
                 else
                 {
                         $user = getUser($login, $entityManager);
@@ -268,7 +262,7 @@ function changePassword(EntityManager $entityManager)
                         }
                         else
                         {
-                                $error = 'bad_password';
+                                $error = 'bad_login_or_password';
                         }
                 }
         }
diff --git a/src/controller/post.php b/src/controller/post.php
index b0bc6a0..3ba0656 100644
--- a/src/controller/post.php
+++ b/src/controller/post.php
@@ -220,6 +220,14 @@ if($_SERVER['REQUEST_METHOD'] === 'POST' && $_SESSION['admin'] === true)
             header("Location: " . new URL(['page' => $_GET['from']]));
             die;
         }
+        elseif(isset($_GET['action']) && $_GET['action'] === 'modif_mdp'
+            && isset($_POST['login']) && isset($_POST['old_password']) && isset($_POST['new_password'])
+            && isset($_POST['modify_password_hidden']) && empty($_POST['modify_password_hidden']))
+        {
+            changePassword($entityManager);
+            header("Location: " . new URL(['page' => $_GET['from']]));
+            die;
+        }
         else{
             header("Location: " . new URL(['error' => 'paramètres inconnus']));
             die;
@@ -230,5 +238,8 @@ if($_SERVER['REQUEST_METHOD'] === 'POST' && $_SESSION['admin'] === true)
     else{
         require '../src/controller/ajax.php';
     }
+
+    require '../src/controller/ajax_calendar_admin.php';
 }
-require '../src/controller/ajax_calendar.php';
\ No newline at end of file
+
+require '../src/controller/ajax_calendar_visitor.php';
diff --git a/src/view/password.php b/src/view/password.php
index ed99040..77f8736 100644
--- a/src/view/password.php
+++ b/src/view/password.php
@@ -72,6 +72,7 @@ ob_start();
                 <input id="old_password" type="password" name="old_password" required ><br><br>
                 <label for="new_password" >Nouveau mot de passe:</label>
                 <input id="new_password" type="password" name="new_password" required autocomplete="off">
+                <input type="hidden" name="modify_password_hidden">
                 <br><br>
                 <input type="submit" value="Valider" >
             </form>
@@ -109,8 +110,7 @@ $header = ob_get_clean();
 $error_messages = [
     'error_non_valid_captcha' => '<p class="avertissement" >Erreur au test anti-robot, veuillez saisir un nombre entier.</p>',
     'bad_solution_captcha' => '<p class="avertissement" >Erreur au test anti-robot, veuillez réessayer.</p>',
-    'bad_login_or_password' => '<p class="avertissement" >Mauvais identifiant ou mot de passe, veuillez réessayer.</p>',
-    'bad_password' => '<p class="avertissement" >Mauvais mot de passe, veuillez réessayer.</p>',
+    'bad_login_or_password' => '<p class="avertissement" >Mauvais identifiant ou mot de passe, veuillez réessayer.</p>', // ne pas indiquer où est l'erreur
     'forbidden_characters' => '<p class="avertissement" >Caractères interdits: espaces, tabulations, sauts CR/LF.</p>'
 ];