Authentification et autorisations

Démarrer rapidement

Les applications et les sites web proposent souvent un système d’authentification pour délimiter les espaces publics et les espaces privés. Sur le site d’une banque en ligne, l’espace client est un espace protégé : seuls les utilisateurs connectés y ont accès. On peut également imaginer que ce site est administré par une DSI au sein de la banque, qui elle aussi aura un espace privé pour effectuer des actions de maintenance sur le site. Enfin, les responsables d’agences auront aussi un espace propre, permettant de gérer leur portefeuille client.

Pour se rendre dans son espace privé, chaque acteur devra donc s’authentifier, c’est-à-dire indiquer généralement une adresse e-mail et un mot de passe. Ensuite intervient la notion d’autorisation : un administrateur n’aura pas les mêmes privilèges qu’un client. Certaines personnes peuvent accéder à des espaces ou à certaines ressources, auxquels d’autres n’ont pas le droit d’accéder.

Dans ce chapitre, nous partirons sur une nouvelle installation de Laravel, en incluant les services mysql et mailpit. Vous pouvez vous référer au chapitre Installation et configuration pour plus de détails.

Commande pour la création d’un nouveau projet Laravel avec Sail

curl -s "https://laravel.build/auth?with=mysql,mailpit" | bash 

Paramétrage avancé

Laravel permet de mettre rapidement en place un système d’authentification complet. Cependant, il est assez générique. Il faudra parfois le personnaliser pour répondre aux besoins spécifiques de votre application.

Les paragraphes suivants donnent quelques exemples de personnalisation de l’authentification pour illustrer ce point : envoi d’un e-mail de bienvenue, demande de renseignement d’un numéro de téléphone à l’inscription, etc.

public function sendPasswordResetNotification($token): void 
{ 
 
    $this->notify(new MyResetPasswordNotification($token)); 
 
}  

Autres méthodes d’authentification

Le système d’authentification présenté précédemment suffira à démarrer dans la plupart des cas. Il permet d’inscrire et de connecter des utilisateurs afin de protéger certaines routes. Cependant, il est également possible d’utiliser d’autres méthodes d’authentification présentées dans la suite de ce chapitre.

sail composer require laravel/socialite  

return [ 
 
    // ... 
 
    'github' => [ 
        'client_id' => env('GITHUB_CLIENT_ID'), ...

Déconnexion

Quand un utilisateur est authentifié avec une méthodes indiquée précédemment dans ce chapitre, il reste authentifié pour la durée de sa session. Cela signifie que tant qu’il continue à naviguer sur le site, l’utilisateur reste connecté. Il est préférable de donner aux utilisateurs un moyen de se déconnecter manuellement. Pour cela, il faudra créer un lien de déconnexion quelque part dans votre application, puis la route correspondante et une méthode dans un contrôleur pour effectuer la déconnexion. Par défaut, Laravel a déjà créé tout cela si vous avez procédé à l’installation de Laravel Breeze (voir la première partie de ce chapitre). Une route /logout est donc probablement disponible et la gestion de la déconnexion est déjà entièrement fonctionnelle. Cependant, il est possible de déconnecter manuellement un utilisateur en utilisant la méthode Auth::logout. La documentation de Laravel recommande d’aller plus loin en invalidant la session de l’utilisateur et en générant un nouveau token CSRF.

Déconnexion d’un utilisateur

public function logout(Request $request): RedirectResponse 
{ 
 
    Auth::logout(); 
 
    $request->session()->invalidate(); ...

Rappels sur la sécurité

Autorisations

Comme déjà vu dans ce chapitre, l’authentification permet de délimiter deux espaces : un espace public accessible aux utilisateurs non connectés et un espace privé accessible aux utilisateurs connectés. C’est un premier pas vers une politique d’autorisation, mais il n’est pas suffisant.

En effet, lorsqu’un espace privé a été identifié, il peut rapidement sembler intéressant de le subdiviser en d’autres espaces restreints à tel ou tel utilisateur selon certaines règles métier. De plus, l’accès aux ressources doit être contrôlé en fonction des autorisations.

Dans un forum par exemple, tout le monde peut consulter un message, mais seuls son auteur et les administrateurs peuvent le modifier. De la même manière, sur un site de partage de documents, on pourrait imaginer que seuls les membres d’un même groupe peuvent accéder à un dossier spécifique. Enfin, sur un site de vente de particulier à particulier, seul le vendeur peut supprimer un élément de sa boutique, les autres se contentent de le consulter ou d’y laisser un commentaire.

Laravel fournit un système simple pour gérer les autorisations à travers deux approches : les portes (Gates) pour les autorisations générales et les politiques (Policies) pour le contrôle d’accès aux ressources. Les deux approches sont complémentaires et peuvent être utilisées en parallèle. Pour une petite application, il est possible de ne sélectionner qu’une seule approche. Les policies deviennent incontournables du moment où l’application monte en complexité.