path: root/controller/password.php

<?php
// controller/password.php

// exécutée dans installation.php à l'ouverture de chaque page
function existPassword()
{
	// création du fichier
    if(!file_exists('data/password.txt'))
    {
        touch('data/password.txt');
        chmod('data/password.txt', 0600);
    }

    // lecture
	$hashedPassword = file_get_contents('data/password.txt');
	if($hashedPassword === false)
	{
		echo('Erreur: ouverture du fichier password.txt impossible.');
		exit();
	}

	if(empty($hashedPassword))
	{
		createPassword();
	}
}


function createCaptcha(): array
{
	$a = rand(2, 9);
	$b = rand(2, 9);
	return array(toLettersFrench($a), toLettersFrench($b), $a * $b);
}

function toLettersFrench(int $number): string
{
	switch($number)
	{
		case 2:
			return 'deux';
			break;
		case 3:
			return 'trois';
			break;
		case 4:
			return 'quatre';
			break;
		case 5:
			return 'cinq';
			break;
		case 6:
			return 'six';
			break;
		case 7:
			return 'sept';
			break;
		case 8:
			return 'huit';
			break;
		case 9:
			return 'neuf';
			break;
		default:
			return ''; // erreur
	};
}

// on veut des chiffres
function controlCaptchaInput(): int
{
	if(is_numeric($_POST['captcha'])) // '2.3' est acceptés
	{
		// (int) supprime les décimales
        if($_POST['captcha'] == (int) $_POST['captcha'])
        {
            return (int) $_POST['captcha'];
        }
        else
        {
            return 0;
        }
	}
    else
    {
        return 0;
    }
}


function createPassword()
{
	// paranoïa?
	if(isset($_SESSION['admin']))
	{
		unset($_SESSION['admin']);
		header("Location: index.php");
		exit();
	}

	$captcha = createCaptcha();
	
	$title = 'Bienvenue Melaine Favennec';
	$subHeading = 'Veuillez choisir le mot de passe que vous utiliserez pour gérer le site.';
	require('view/password.php');

	// contrôle de la saisie
	if(isset($_POST['motdepasse']) && !empty($_POST['motdepasse']) && isset($_POST['captcha']) && (int) $_POST['captcha'] == $_SESSION['captcha'])
	{
		// caractères non désirés supprimés
		// impossible d'entrer un espace ou une tabulation et de valider par erreur
		require('controller/Security.php');
		$password = Security::secureString($_POST['motdepasse']);
		$password = removeSpacesTabsCRLF($_POST['motdepasse']);

		// enregistrement
		if(isset($password) && $password == $_POST['motdepasse'])
		{
			hashNewPassword($_POST['motdepasse']);
			unset($_SESSION['captcha']); // nettoyage
			header('Location: index.php');
		}
		// mot de passe non valable
		else
		{
			sleep(1);
			echo($header);
			echo($errorPassword);
			echo($formulaireNouveauMDP);
			echo($errorBadCharacters);
		}
	}
	// saisie non valide
	elseif(isset($_POST['captcha']) && controlCaptchaInput() == 0)
	{
		sleep(1);
		echo($header);
		echo($errorNonValidCaptcha);
		echo($formulaireNouveauMDP);
		echo($errorBadCharacters);
	}
	// mauvais captcha
	elseif(isset($_POST['captcha']) && (int) $_POST['captcha'] != $_SESSION['captcha'])
	{
		sleep(1);
		echo($header);
		echo($errorCaptcha);
		echo($formulaireNouveauMDP);
		echo($errorBadCharacters);
	}
	// 1ère fois
	else
	{
		echo($header);
		echo($formulaireNouveauMDP);
		echo($errorBadCharacters);
		//echo($warning); // message pas top
	}

	// fois suivante (dispense de nettoyer la variable)
	$_SESSION['captcha'] = $captcha[2];
	exit();
}


function connect()
{
	// déjà en mode admin
	if($_SESSION['admin'] == 1)
	{
	    header('Location: index.php?page=' . $_GET['from']);
	    exit();
	}

	// Ajouter une sécurité par cpatcha avec un "input" supplémentaire
	$captcha = createCaptcha();
	// Et créer une variable de session pour la réponse au CAPTCHA

	$title = "Connexion";
	$subHeading = "Veuillez saisir votre mot de passe pour pouvoir apporter des modifications au site.";

	// cette page utilise la même vue que la fonction changerMotDePasse() dans controller/admin.php
	require('view/password.php');

	echo($header);

	// bon codes (mot de passe et captcha)
	if(isset ($_POST["motdepasse"]) && testPassword($_POST["motdepasse"]) && isset($_POST['captcha']) && (int) $_POST['captcha'] == $_SESSION['captcha'])
	{
		$_SESSION['admin'] = 1;
		unset($_SESSION['captcha']); // nettoyage
	    header('Location: index.php?page=' . $_GET['from']);
	    exit();
	}
	// saisie non valide
	elseif(isset($_POST['captcha']) && controlCaptchaInput() == 0)
	{
		echo($errorNonValidCaptcha);
		sleep(1);
		echo($formulaireConnexion);
	}
	// mauvais captcha
	elseif(isset($_POST['captcha']) && (int) $_POST['captcha'] != $_SESSION['captcha'])
	{
		echo($errorCaptcha);
		sleep(1);
	    echo($formulaireConnexion);
	}

	// mauvais codes
	elseif(isset ($_POST["motdepasse"]) && !testPassword($_POST["motdepasse"]))
	{
		// défense aux attaques par force brute
		// pas parfait, ne marche pas si l'attaquant multiplie les connexions au site
		echo($errorPassword);
		sleep(1);
	    echo($formulaireConnexion);
	}

	// première arrivée sur la page
	else
	{
	    echo($formulaireConnexion);
	}

	// fois suivante (dispense de nettoyer la variable)
	$_SESSION['captcha'] = $captcha[2];
	
	echo($messageDeconnect);
	echo($footer);
}

function changePassword()
{
	// vérification supplémentaire
	if($_SESSION['admin'] !== 1)
	{
		$_SESSION['admin'] = 0;
	    header('Location: index.php?page=' . $_GET['from']);
	    exit();
	}

	$title = "Nouveau mot de passe";
	$subHeading = "Veuillez saisir votre actuel mot de passe suivi du nouveau.";

	require('view/password.php');
	echo($header);

	// conformité du nouveau mot de passe
	if(isset($_POST['nouveauMotdepasse']) && !empty($_POST['nouveauMotdepasse']))
	{
		require('controller/Security.php');
		$newPassword = Security::secureString($_POST['nouveauMotdepasse']);
		$newPassword = removeSpacesTabsCRLF($_POST['nouveauMotdepasse']);
	}

	// bon mot de passe
	if(isset($newPassword) && $newPassword === $_POST['nouveauMotdepasse']
		&& isset ($_POST["ancienMotdepasse"]) && testPassword($_POST["ancienMotdepasse"]))
	{
		// enregistrement et confirmation
		hashNewPassword($_POST["nouveauMotdepasse"]);
		echo($message);	
	}
	// mauvais mot de passe
	elseif(isset ($_POST["ancienMotdepasse"]) && !testPassword($_POST["ancienMotdepasse"]))
	{
		// défense aux attaques par force brute
		// pas parfait, ne marche pas si l'attaquant multiplie les connexions au site
		echo($errorPassword);
		sleep(1);
	    echo($formulaireModifMDP);
	}
	// erreur de conformité
	elseif(isset($newPassword) && $newPassword !== $_POST['nouveauMotdepasse'])
	{
		echo($errorBadCharacters);
		echo($formulaireModifMDP);
	}
	// première arrivée sur la page
	else
	{
	    echo($formulaireModifMDP);
	}

	//echo($warning);
	echo($footer);
}


// hachage
function hashNewPassword(string $newPassword)
{
	// "réparation" des espaces accidentels
	$newPassword= trim($newPassword);
	// hachage
	$newHashedPassword = password_hash($newPassword, PASSWORD_DEFAULT);

	// écriture
	$file = fopen('data/password.txt', 'w');
	fputs($file, $newHashedPassword);
	fclose($file);
	chmod('data/password.txt', 0600);
}

function testPassword(string $password): bool
{
	// lecture
	$oldHashedPassword = file_get_contents('data/password.txt');

	// "réparation" des espaces accidentels
	$password= trim($password);
	$oldHashedPassword = trim($oldHashedPassword);

	if(password_verify($password, $oldHashedPassword))
	{
		return true;
	}
	else
	{
		return false;
	}
}