PHP, c’est quoi ?

PHP est un langage côté serveur. Contrairement à HTML, CSS et JavaScript qui s’exécutent dans le navigateur, PHP s’exécute sur le serveur avant d’envoyer du HTML au visiteur.

PHP permet de créer des pages dynamiques : espace membre, formulaire de contact, blog, boutique, tableau de bord, système de formations, WordPress, WooCommerce, etc.

<?php
echo 'Bonjour PHP';
?>

À retenir

Le navigateur ne voit pas le PHP. Il reçoit uniquement le HTML généré par PHP.

Travailler avec Laragon

Pour exécuter PHP en local, il faut un serveur. Avec Laragon, vous avez facilement Apache, PHP et MySQL sur votre ordinateur.

laragon/
└── www/
    └── formation-php/
        ├── index.php
        ├── contact.php
        ├── includes/
        └── assets/

Créez un dossier dans www, lancez Laragon, puis ouvrez votre projet dans le navigateur.

<?php
declare(strict_types=1);
?>

<!DOCTYPE html>
<html lang="fr">
<head>
    <meta charset="UTF-8">
    <title>Formation PHP</title>
</head>
<body>
    <h1><?= 'Bonjour depuis PHP' ?></h1>
</body>
</html>

La syntaxe de base PHP

Le code PHP commence avec <?php. Chaque instruction se termine généralement par un point-virgule.

<?php
declare(strict_types=1);

echo 'Bonjour';
echo 'Bienvenue dans la formation PHP';
?>

Afficher dans du HTML

<h1><?= 'Titre généré en PHP' ?></h1>

<p>
    <?= 'Ce paragraphe vient de PHP.' ?>
</p>

Commentaires

<?php
// Commentaire sur une ligne

/*
Commentaire
sur plusieurs lignes
*/
?>

Les variables

Une variable permet de stocker une valeur. En PHP, une variable commence toujours par $.

<?php
$siteName = 'Sycow Solutions';
$price = 49;
$isActive = true;

echo $siteName;
?>

Afficher une variable dans HTML

<?php
$pageTitle = 'Débuter en PHP';
?>

<h1><?= $pageTitle ?></h1>

Erreur fréquente

<?php
// Mauvais : oubli du $
siteName = 'Sycow';

// Correct
$siteName = 'Sycow';
?>

Les types de données

PHP peut manipuler du texte, des nombres, des booléens, des tableaux, des valeurs nulles et des objets.

<?php
$name = 'Julie';          // string
$age = 28;               // integer
$price = 49.90;          // float
$isLoggedIn = true;      // boolean
$items = ['HTML', 'CSS']; // array
$nothing = null;         // null
?>

<?php
$price = 49;

var_dump($price);
var_dump(is_int($price));
var_dump(is_string($price));
?>

var_dump() est très pratique pour comprendre ce qu’une variable contient.

Manipuler du texte

Les chaînes de caractères sont partout : titres, emails, messages, descriptions, slugs, contenus de page.

<?php
$firstname = 'Julie';
$message = 'Bonjour ' . $firstname . ' !';

echo $message;
?>

<?php
$firstname = 'Julie';
$product = 'Formation PHP';

echo "Bonjour $firstname, bienvenue dans la $product.";
?>

<?php
$email = '  CONTACT@EXAMPLE.COM  ';

$email = trim($email);
$email = strtolower($email);

echo $email;
?>

Manipuler les nombres

PHP permet de calculer des prix, des quantités, des remises, des taxes ou des totaux.

<?php
$price = 49;
$quantity = 3;

$total = $price * $quantity;

echo $total; // 147
?>

<?php
$priceWithoutTax = 100;
$taxRate = 20;

$taxAmount = $priceWithoutTax * $taxRate / 100;
$priceWithTax = $priceWithoutTax + $taxAmount;

echo $priceWithTax; // 120
?>

<?php
$price = 49.9;

echo number_format($price, 2, ',', ' ') . ' €';
?>

Les conditions

Une condition permet d’exécuter du code seulement si une règle est vraie.

<?php
$age = 18;

if ($age >= 18) {
    echo 'Accès autorisé';
} else {
    echo 'Accès refusé';
}
?>

<?php
$stock = 2;

if ($stock === 0) {
    echo 'Produit indisponible';
} elseif ($stock < 3) {
    echo 'Stock faible';
} else {
    echo 'Produit disponible';
}
?>

Condition dans HTML

<?php $isLoggedIn = true; ?>

<?php if ($isLoggedIn): ?>
    <p>Bienvenue dans votre espace membre.</p>
<?php else: ?>
    <p>Merci de vous connecter.</p>
<?php endif; ?>

Les opérateurs utiles

Les opérateurs servent à comparer ou combiner plusieurs conditions.

<?php
$price = 49;

var_dump($price === 49); // égal strict
var_dump($price !== 59); // différent
var_dump($price > 20);
var_dump($price >= 49);
var_dump($price < 100);
?>

<?php
$isLoggedIn = true;
$hasAccess = false;

if ($isLoggedIn && $hasAccess) {
    echo 'Formation accessible';
}

if ($isLoggedIn || $hasAccess) {
    echo 'Utilisateur connu ou autorisé';
}
?>

<?php
$isActive = false;

if (!$isActive) {
    echo 'Élément inactif';
}
?>

Les tableaux simples

Un tableau permet de stocker plusieurs valeurs dans une seule variable.

<?php
$formations = ['HTML', 'CSS', 'PHP'];

echo $formations[0]; // HTML
echo $formations[1]; // CSS
?>

<?php
$formations = ['HTML', 'CSS'];

$formations[] = 'PHP';

var_dump($formations);
?>

<?php
$roles = ['admin', 'client'];

if (in_array('admin', $roles, true)) {
    echo 'Accès admin';
}
?>

Les tableaux associatifs

Un tableau associatif permet de donner un nom à chaque valeur. C’est très utile pour représenter un utilisateur, un produit ou une formation.

<?php
$user = [
    'firstname' => 'Julie',
    'lastname' => 'Martin',
    'email' => 'julie@example.com',
    'is_active' => true,
];

echo $user['firstname'];
echo $user['email'];
?>

<?php
$product = [
    'name' => 'Formation PHP',
    'price' => 79,
    'stock' => 50,
];

echo $product['name'] . ' coûte ' . $product['price'] . ' €';
?>

Les boucles

Une boucle permet de répéter une action. En PHP, foreach est très utilisé avec les tableaux.

<?php
$formations = ['HTML', 'CSS', 'PHP'];

foreach ($formations as $formation) {
    echo $formation . '<br>';
}
?>

<?php
$services = ['Site vitrine', 'SEO', 'Maintenance'];
?>

<ul>
    <?php foreach ($services as $service): ?>
        <li><?= $service ?></li>
    <?php endforeach; ?>
</ul>

<?php
for ($i = 1; $i <= 5; $i++) {
    echo 'Ligne ' . $i . '<br>';
}
?>

Les fonctions

Une fonction permet de réutiliser du code. Elle peut recevoir des paramètres et retourner un résultat.

<?php
function sayHello(): void
{
    echo 'Bonjour';
}

sayHello();
?>

<?php
function greet(string $firstname): string
{
    return 'Bonjour ' . $firstname;
}

echo greet('Julie');
?>

<?php
function calculateTotal(float $price, int $quantity): float
{
    return $price * $quantity;
}

echo calculateTotal(49.00, 3);
?>

Sécuriser l’affichage avec htmlspecialchars

Quand une donnée vient d’un utilisateur ou d’une base de données, il faut l’échapper avant de l’afficher. Cela évite les injections HTML et XSS.

<?php
function e(string $value): string
{
    return htmlspecialchars($value, ENT_QUOTES, 'UTF-8');
}

$name = '<script>alert("hack")</script>';
?>

<p><?= e($name) ?></p>

Erreur fréquente

<?php
// Mauvais si $username vient d’un formulaire
echo $_GET['username'];

// Meilleur
echo htmlspecialchars((string) ($_GET['username'] ?? ''), ENT_QUOTES, 'UTF-8');
?>

Découper son site avec include et require

Pour éviter de recopier le même header et footer sur toutes les pages, on peut découper le site en plusieurs fichiers.

mon-site/
├── index.php
├── contact.php
└── includes/
    ├── header.php
    └── footer.php

<?php require_once __DIR__ . '/includes/header.php'; ?>

<main>
    <h1>Accueil</h1>
    <p>Bienvenue sur mon site.</p>
</main>

<?php require_once __DIR__ . '/includes/footer.php'; ?>

require ou include ?

require provoque une erreur fatale si le fichier manque. include affiche un avertissement mais continue. Pour les fichiers importants, utilisez souvent require_once.

Lire les paramètres d’URL avec GET

$_GET permet de récupérer les paramètres présents dans l’URL.

produit.php?id=12&slug=formation-php

<?php
$id = (int) ($_GET['id'] ?? 0);
$slug = (string) ($_GET['slug'] ?? '');

echo 'ID : ' . $id;
echo 'Slug : ' . htmlspecialchars($slug, ENT_QUOTES, 'UTF-8');
?>

Attention

Ne faites jamais confiance à une donnée venant de l’URL. Il faut toujours vérifier, caster et sécuriser.

Traiter un formulaire avec POST

$_POST permet de récupérer les données envoyées par un formulaire en méthode POST.

<form method="post" action="">
    <label for="name">Nom</label>
    <input type="text" id="name" name="name" required>

    <label for="email">Email</label>
    <input type="email" id="email" name="email" required>

    <button type="submit">Envoyer</button>
</form>

<?php
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    $name = trim((string) ($_POST['name'] ?? ''));
    $email = trim((string) ($_POST['email'] ?? ''));

    if ($name === '' || $email === '') {
        echo 'Merci de remplir tous les champs.';
    } elseif (!filter_var($email, FILTER_VALIDATE_EMAIL)) {
        echo 'Email invalide.';
    } else {
        echo 'Merci ' . htmlspecialchars($name, ENT_QUOTES, 'UTF-8') . ', votre message est prêt.';
    }
}
?>

Nettoyer et valider les données

Nettoyer, c’est préparer une donnée. Valider, c’est vérifier qu’elle respecte une règle.

<?php
$name = trim((string) ($_POST['name'] ?? ''));
$email = strtolower(trim((string) ($_POST['email'] ?? '')));
$message = trim((string) ($_POST['message'] ?? ''));
?>

<?php
$email = trim((string) ($_POST['email'] ?? ''));

if (!filter_var($email, FILTER_VALIDATE_EMAIL)) {
    echo 'Adresse email invalide.';
}
?>

<?php
$quantity = (int) ($_POST['quantity'] ?? 0);

if ($quantity < 1 || $quantity > 10) {
    echo 'Quantité invalide.';
}
?>

Les sessions

Une session permet de garder des informations côté serveur pour un utilisateur : connexion, panier, messages flash, progression, etc.

<?php
session_start();

$_SESSION['user_id'] = 12;
$_SESSION['firstname'] = 'Julie';

echo $_SESSION['firstname'];
?>

<?php
session_start();

if (!isset($_SESSION['user_id'])) {
    exit('Vous devez être connecté.');
}

echo 'Bienvenue dans votre espace.';
?>

<?php
session_start();

$_SESSION = [];
session_destroy();

header('Location: login.php');
exit;
?>

Les cookies

Un cookie permet de stocker une petite information dans le navigateur : préférence de thème, bannière cookies, langue, etc.

<?php
setcookie('theme', 'dark', time() + 60 * 60 * 24 * 30, '/');
?>

<?php
$theme = $_COOKIE['theme'] ?? 'light';

echo htmlspecialchars($theme, ENT_QUOTES, 'UTF-8');
?>

<?php
setcookie('theme', '', time() - 3600, '/');
?>

Lire et écrire dans un fichier

PHP peut lire ou écrire des fichiers. C’est pratique pour des logs simples, des exports ou des fichiers de configuration.

<?php
$message = date('Y-m-d H:i:s') . ' - Visite du site' . PHP_EOL;

file_put_contents(__DIR__ . '/logs.txt', $message, FILE_APPEND);
?>

<?php
$file = __DIR__ . '/logs.txt';

if (file_exists($file)) {
    echo nl2br(htmlspecialchars(file_get_contents($file), ENT_QUOTES, 'UTF-8'));
}
?>

Attention

Ne laissez jamais un utilisateur choisir librement un chemin de fichier à lire ou supprimer.

Travailler avec JSON

JSON est très utilisé pour les configurations, les APIs, les exports et les échanges entre PHP et JavaScript.

<?php
$data = [
    'success' => true,
    'message' => 'Progression sauvegardée',
];

header('Content-Type: application/json; charset=utf-8');
echo json_encode($data, JSON_UNESCAPED_UNICODE);
exit;
?>

<?php
$json = '{"name":"Formation PHP","price":79}';

$product = json_decode($json, true);

echo $product['name'];
?>

Se connecter à MySQL avec PDO

PDO permet à PHP de communiquer avec une base de données. C’est la base pour créer un blog, un espace membre, une boutique ou un LMS.

<?php
declare(strict_types=1);

$host = 'localhost';
$dbname = 'formation_php';
$username = 'root';
$password = '';

try {
    $pdo = new PDO(
        "mysql:host=$host;dbname=$dbname;charset=utf8mb4",
        $username,
        $password,
        [
            PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
            PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC,
        ]
    );
} catch (PDOException $e) {
    exit('Erreur de connexion à la base de données.');
}
?>

Bonne pratique

En production, ne laissez pas les identifiants directement dans les fichiers publics. Utilisez un fichier de configuration protégé.

Lire des données avec PDO

Une fois connecté à MySQL, PHP peut récupérer des données avec une requête SQL.

CREATE TABLE formations (
    id INT UNSIGNED NOT NULL AUTO_INCREMENT,
    title VARCHAR(190) NOT NULL,
    slug VARCHAR(190) NOT NULL,
    price DECIMAL(10,2) NOT NULL DEFAULT 0.00,
    is_active TINYINT(1) NOT NULL DEFAULT 1,
    created_at DATETIME NOT NULL DEFAULT CURRENT_TIMESTAMP,
    PRIMARY KEY (id)
);

<?php
$stmt = $pdo->query("
    SELECT id, title, slug, price
    FROM formations
    WHERE is_active = 1
    ORDER BY id DESC
");

$formations = $stmt->fetchAll();

foreach ($formations as $formation) {
    echo htmlspecialchars($formation['title'], ENT_QUOTES, 'UTF-8') . '<br>';
}
?>

Les requêtes préparées

Une requête préparée permet d’envoyer des données à SQL proprement et de se protéger contre les injections SQL.

<?php
// Mauvais : ne jamais concaténer directement une donnée utilisateur
$id = $_GET['id'];

$sql = "SELECT * FROM formations WHERE id = $id";
$stmt = $pdo->query($sql);
?>

<?php
$id = (int) ($_GET['id'] ?? 0);

$stmt = $pdo->prepare("
    SELECT id, title, slug, price
    FROM formations
    WHERE id = :id
      AND is_active = 1
    LIMIT 1
");

$stmt->execute([
    'id' => $id,
]);

$formation = $stmt->fetch();

if (!$formation) {
    http_response_code(404);
    exit('Formation introuvable.');
}

echo htmlspecialchars($formation['title'], ENT_QUOTES, 'UTF-8');
?>

Ajouter des données avec INSERT

PHP peut insérer une ligne en base, par exemple après un formulaire.

<?php
$title = trim((string) ($_POST['title'] ?? ''));
$slug = trim((string) ($_POST['slug'] ?? ''));
$price = (float) ($_POST['price'] ?? 0);

if ($title === '' || $slug === '') {
    exit('Titre et slug obligatoires.');
}

$stmt = $pdo->prepare("
    INSERT INTO formations (title, slug, price, is_active, created_at)
    VALUES (:title, :slug, :price, 1, NOW())
");

$stmt->execute([
    'title' => $title,
    'slug' => $slug,
    'price' => $price,
]);

echo 'Formation ajoutée.';
?>

<?php
$lastId = (int) $pdo->lastInsertId();

echo 'Nouvelle formation ID : ' . $lastId;
?>

Modifier et supprimer avec UPDATE / DELETE

PHP peut modifier ou supprimer des données. Il faut toujours être prudent avec les conditions.

<?php
$id = (int) ($_POST['id'] ?? 0);
$title = trim((string) ($_POST['title'] ?? ''));

$stmt = $pdo->prepare("
    UPDATE formations
    SET title = :title
    WHERE id = :id
    LIMIT 1
");

$stmt->execute([
    'title' => $title,
    'id' => $id,
]);

echo 'Formation modifiée.';
?>

<?php
$id = (int) ($_POST['id'] ?? 0);

$stmt = $pdo->prepare("
    DELETE FROM formations
    WHERE id = :id
    LIMIT 1
");

$stmt->execute([
    'id' => $id,
]);

echo 'Formation supprimée.';
?>

Alternative plus sûre

<?php
$id = (int) ($_POST['id'] ?? 0);

$stmt = $pdo->prepare("
    UPDATE formations
    SET is_active = 0
    WHERE id = :id
    LIMIT 1
");

$stmt->execute([
    'id' => $id,
]);
?>

Mini-projet : mini CRUD formations

Objectif : afficher une liste de formations et ajouter une nouvelle formation depuis un formulaire.

<?php
declare(strict_types=1);

require_once __DIR__ . '/pdo.php';

function e(string $value): string
{
    return htmlspecialchars($value, ENT_QUOTES, 'UTF-8');
}

if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    $title = trim((string) ($_POST['title'] ?? ''));
    $slug = trim((string) ($_POST['slug'] ?? ''));

    if ($title !== '' && $slug !== '') {
        $stmt = $pdo->prepare("
            INSERT INTO formations (title, slug, price, is_active, created_at)
            VALUES (:title, :slug, 0, 1, NOW())
        ");

        $stmt->execute([
            'title' => $title,
            'slug' => $slug,
        ]);

        header('Location: index.php');
        exit;
    }
}

$stmt = $pdo->query("
    SELECT id, title, slug
    FROM formations
    WHERE is_active = 1
    ORDER BY id DESC
");

$formations = $stmt->fetchAll();
?>

<h1>Formations</h1>

<form method="post">
    <input type="text" name="title" placeholder="Titre" required>
    <input type="text" name="slug" placeholder="slug" required>
    <button type="submit">Ajouter</button>
</form>

<ul>
    <?php foreach ($formations as $formation): ?>
        <li>
            <strong><?= e($formation['title']) ?></strong>
            <small><?= e($formation['slug']) ?></small>
        </li>
    <?php endforeach; ?>
</ul>

Uploader un fichier

PHP peut recevoir un fichier envoyé depuis un formulaire. Il faut toujours vérifier le type, la taille et le nom.

<form method="post" enctype="multipart/form-data">
    <label for="image">Image</label>
    <input type="file" id="image" name="image" accept="image/png,image/jpeg,image/webp" required>

    <button type="submit">Envoyer</button>
</form>

<?php
if ($_SERVER['REQUEST_METHOD'] === 'POST' && isset($_FILES['image'])) {
    $file = $_FILES['image'];

    if ($file['error'] !== UPLOAD_ERR_OK) {
        exit('Erreur upload.');
    }

    if ($file['size'] > 2 * 1024 * 1024) {
        exit('Fichier trop lourd.');
    }

    $allowedTypes = ['image/jpeg', 'image/png', 'image/webp'];

    if (!in_array($file['type'], $allowedTypes, true)) {
        exit('Format non autorisé.');
    }

    $extension = pathinfo($file['name'], PATHINFO_EXTENSION);
    $newName = uniqid('image_', true) . '.' . $extension;

    move_uploaded_file($file['tmp_name'], __DIR__ . '/uploads/' . $newName);

    echo 'Fichier envoyé.';
}
?>

Sécurité PHP essentielle

PHP peut être très sûr si les bases sont respectées. Les erreurs viennent souvent des données utilisateur mal vérifiées.

<?php
// 1. Ne jamais faire confiance à $_GET, $_POST, $_COOKIE, $_FILES
// 2. Échapper les données affichées avec htmlspecialchars
// 3. Utiliser des requêtes préparées avec PDO
// 4. Vérifier les uploads
// 5. Protéger les formulaires sensibles avec un token CSRF
// 6. Ne jamais afficher les erreurs techniques en production
?>

<?php
session_start();

if (empty($_SESSION['csrf'])) {
    $_SESSION['csrf'] = bin2hex(random_bytes(32));
}

if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    if (!hash_equals($_SESSION['csrf'], (string) ($_POST['csrf'] ?? ''))) {
        exit('Jeton CSRF invalide.');
    }

    echo 'Formulaire valide.';
}
?>

<form method="post">
    <input type="hidden" name="csrf" value="<?= htmlspecialchars($_SESSION['csrf'], ENT_QUOTES, 'UTF-8') ?>">
    <button type="submit">Envoyer</button>
</form>

Comprendre les erreurs PHP

Les erreurs PHP sont normales en apprentissage. Il faut apprendre à les lire.

<?php
ini_set('display_errors', '1');
ini_set('display_startup_errors', '1');
error_reporting(E_ALL);
?>

<?php
// Mauvais
echo 'Bonjour'

// Correct
echo 'Bonjour';
?>

<?php
// Mauvais : du HTML est envoyé avant header()
echo 'Bonjour';
header('Location: contact.php');

// Correct : redirection avant affichage
header('Location: contact.php');
exit;
?>

Organiser un petit projet PHP proprement

Dès que le projet grandit, il faut ranger le code : configuration, fonctions, templates, pages.

mon-projet/
├── public/
│   ├── index.php
│   ├── contact.php
│   └── assets/
├── includes/
│   ├── config.php
│   ├── functions.php
│   └── pdo.php
└── templates/
    ├── header.php
    └── footer.php

<?php
declare(strict_types=1);

session_start();

require_once __DIR__ . '/config.php';
require_once __DIR__ . '/functions.php';
require_once __DIR__ . '/pdo.php';
?>

Le but est de ne pas mélanger toute la logique dans un seul fichier.

Mini-projet : formulaire de contact complet

Objectif : créer un formulaire propre avec validation, sécurité d’affichage et message de retour.

<?php
declare(strict_types=1);

function e(string $value): string
{
    return htmlspecialchars($value, ENT_QUOTES, 'UTF-8');
}

$errors = [];
$success = false;

if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    $name = trim((string) ($_POST['name'] ?? ''));
    $email = trim((string) ($_POST['email'] ?? ''));
    $message = trim((string) ($_POST['message'] ?? ''));

    if ($name === '') {
        $errors[] = 'Le nom est obligatoire.';
    }

    if (!filter_var($email, FILTER_VALIDATE_EMAIL)) {
        $errors[] = 'L’email est invalide.';
    }

    if (mb_strlen($message) < 10) {
        $errors[] = 'Le message doit contenir au moins 10 caractères.';
    }

    if (!$errors) {
        $success = true;
    }
}
?>

<h1>Contact</h1>

<?php if ($success): ?>
    <p>Merci, votre message est prêt à être envoyé.</p>
<?php endif; ?>

<?php if ($errors): ?>
    <ul>
        <?php foreach ($errors as $error): ?>
            <li><?= e($error) ?></li>
        <?php endforeach; ?>
    </ul>
<?php endif; ?>

<form method="post">
    <label for="name">Nom</label>
    <input type="text" id="name" name="name" value="<?= e($_POST['name'] ?? '') ?>" required>

    <label for="email">Email</label>
    <input type="email" id="email" name="email" value="<?= e($_POST['email'] ?? '') ?>" required>

    <label for="message">Message</label>
    <textarea id="message" name="message" required><?= e($_POST['message'] ?? '') ?></textarea>

    <button type="submit">Envoyer</button>
</form>

Mini-projet : connexion simple

Objectif : comprendre le principe d’un login avec session. Exemple volontairement simplifié.

<?php
declare(strict_types=1);

session_start();

$validEmail = 'admin@example.com';
$validPassword = 'secret';

$error = '';

if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    $email = trim((string) ($_POST['email'] ?? ''));
    $password = (string) ($_POST['password'] ?? '');

    if ($email === $validEmail && $password === $validPassword) {
        $_SESSION['user_id'] = 1;
        $_SESSION['email'] = $email;

        header('Location: dashboard.php');
        exit;
    }

    $error = 'Identifiants invalides.';
}
?>

<h1>Connexion</h1>

<?php if ($error): ?>
    <p><?= htmlspecialchars($error, ENT_QUOTES, 'UTF-8') ?></p>
<?php endif; ?>

<form method="post">
    <label for="email">Email</label>
    <input type="email" id="email" name="email" required>

    <label for="password">Mot de passe</label>
    <input type="password" id="password" name="password" required>

    <button type="submit">Se connecter</button>
</form>

En vrai projet, les mots de passe doivent être stockés avec password_hash() et vérifiés avec password_verify().

Hasher et vérifier un mot de passe

On ne stocke jamais un mot de passe en clair dans une base de données. On stocke une empreinte sécurisée avec password_hash().

<?php
$password = 'secret';

$hash = password_hash($password, PASSWORD_DEFAULT);

echo $hash;
?>

<?php
$password = 'secret';
$hashFromDatabase = '$2y$10$exempleDeHash...';

if (password_verify($password, $hashFromDatabase)) {
    echo 'Mot de passe correct';
} else {
    echo 'Mot de passe incorrect';
}
?>

Exercices rapides

Essayez d’abord seul, puis comparez avec les corrections.

Exercice 1 : afficher une carte produit

<?php
$product = [
    'name' => 'Formation PHP',
    'price' => 79,
    'stock' => 12,
];
?>

<article>
    <h2><?= htmlspecialchars($product['name'], ENT_QUOTES, 'UTF-8') ?></h2>
    <p>Prix : <?= number_format($product['price'], 2, ',', ' ') ?> €</p>
    <p>Stock : <?= (int) $product['stock'] ?></p>
</article>

Exercice 2 : afficher une liste de services

<?php
$services = ['Création de site', 'SEO', 'Maintenance'];
?>

<ul>
    <?php foreach ($services as $service): ?>
        <li><?= htmlspecialchars($service, ENT_QUOTES, 'UTF-8') ?></li>
    <?php endforeach; ?>
</ul>

Exercice 3 : valider un email

<?php
$email = 'contact@example.com';

if (filter_var($email, FILTER_VALIDATE_EMAIL)) {
    echo 'Email valide';
} else {
    echo 'Email invalide';
}
?>

Exercice 4 : faire un SELECT préparé

<?php
$id = 1;

$stmt = $pdo->prepare("
    SELECT id, title
    FROM formations
    WHERE id = :id
    LIMIT 1
");

$stmt->execute([
    'id' => $id,
]);

$formation = $stmt->fetch();
?>

Quiz de validation

Répondez mentalement avant de regarder la correction.

Question 1

Quelle superglobale lit les données envoyées en POST ?

Réponse : $_POST

Exemple :
$name = $_POST['name'] ?? '';

Question 2

Quelle fonction protège l’affichage HTML ?

Réponse : htmlspecialchars()

Exemple :
echo htmlspecialchars($value, ENT_QUOTES, 'UTF-8');

Question 3

Pourquoi utiliser une requête préparée avec PDO ?

Une requête préparée sépare le SQL des données utilisateur.
Elle aide à éviter les injections SQL et rend le code plus propre.

Récapitulatif PHP

Vous avez maintenant les bases pour créer des pages dynamiques en PHP : variables, conditions, boucles, fonctions, formulaires, sessions, sécurité, fichiers, JSON, PDO et requêtes SQL préparées.

<?php
declare(strict_types=1);

// Afficher
echo 'Bonjour';

// Variable
$name = 'Julie';

// Condition
if ($name !== '') {
    echo 'Nom renseigné';
}

// Tableau
$items = ['HTML', 'CSS', 'PHP'];

// Boucle
foreach ($items as $item) {
    echo $item;
}

// Fonction
function e(string $value): string
{
    return htmlspecialchars($value, ENT_QUOTES, 'UTF-8');
}

// GET
$id = (int) ($_GET['id'] ?? 0);

// POST
$email = trim((string) ($_POST['email'] ?? ''));

// Session
session_start();
$_SESSION['user_id'] = 1;

// PDO prepare
$stmt = $pdo->prepare("SELECT * FROM users WHERE id = :id");
$stmt->execute(['id' => $id]);
$user = $stmt->fetch();
?>

La suite logique

Après cette formation, vous pouvez approfondir la programmation orientée objet, l’architecture MVC, Composer, les namespaces, les API, la sécurité avancée et la création d’un mini-framework PHP.