🎓 Partie 0

Les bases (pour bien comprendre)

On commence par le commencement

C'est quoi PHP + Base de données ? 🤔

Exemple concret : Site e-commerce 🛒

Ce qui est dans la base de données :

• 📦 Les produits (nom, prix, photo, stock...)
• 👤 Les clients (nom, email, adresse...)
• 🧾 Les commandes (qui a acheté quoi, quand...)

Ce que fait PHP :

• Affiche les produits sur la page d'accueil
• Cherche un produit quand on tape dans la barre de recherche
• Enregistre une commande quand on clique "Acheter"
• Affiche l'historique des commandes du client

Pourquoi on utilise PDO ? 🎯

🔌 Partie 1

Se connecter à la base de données

Le premier contact

Qu'est-ce qu'une connexion ? 🤝

Code de connexion - Version simple 🔧

<?php
// Informations de connexion (comme un trousseau de cles)
$host = 'localhost';       // Ou est MySQL ? (ici, sur cet ordinateur)
$dbname = 'ma_base';       // Quelle base de donnees ?
$username = 'root';        // Qui se connecte ?
$password = '';            // Mot de passe (souvent vide en local)

// Creer la connexion
$pdo = new PDO("mysql:host=$host;dbname=$dbname", $username, $password);

echo "Connecte !";  // Si ca affiche, ca a marche !
?>

Décomposition du DSN 🔍

$pdo = new PDO("mysql:host=$host;dbname=$dbname", $username, $password);
               │         │      │           │           │           │
               │         │      │           │           │           Mot de passe
               │         │      │           │           Nom utilisateur
               │         │      │           Nom de la base
               │         │      Serveur (localhost = cet ordi)
               │         Type de BDD (mysql, pgsql, sqlite...)
               Objet PDO (connexion etablie)

Et si ça ne marche pas ? 🚨

<?php
try {
    // Essayer de se connecter
    $pdo = new PDO("mysql:host=$host;dbname=$dbname", $username, $password);
    echo "Connexion reussie !";
    
} catch (PDOException $e) {
    // Si ca echoue, on arrive ici
    echo "Erreur : " . $e->getMessage();
    die();  // Arreter le script
}
?>

Erreurs courantes et solutions 🔧

Configuration recommandée ⚙️

<?php
$host = 'localhost';
$dbname = 'ma_base';
$username = 'root';
$password = '';

// DSN (Data Source Name)
$dsn = "mysql:host=$host;dbname=$dbname;charset=utf8mb4";
        //                                  ^
        //                                  IMPORTANT pour les accents et emojis

// Options de configuration
$options = [
    PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,  // Afficher les erreurs
    PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC,  // Format tableau associatif
    PDO::ATTR_EMULATE_PREPARES => false,  // Vraies requetes preparees
];

try {
    $pdo = new PDO($dsn, $username, $password, $options);
    echo "Connexion OK !";
} catch (PDOException $e) {
    die("Erreur : " . $e->getMessage());
}
?>

📖 Partie 2

Votre première requête

Récupérer des données

C'est quoi une requête ? 💭

SELECT - Récupérer des données 📊

On a cette table "client" dans MySQL :

Code PHP pour afficher les clients :

<?php
// 1. Connexion (deja faite avant)
// $pdo est deja connecte

// 2. Preparer la requete SQL
$sql = "SELECT * FROM client";
//      ^      ^       ^
//      |      |       Nom de la table
//      |      * = tout (id, nom, email...)
//      Commande SQL (recuperer)

// 3. Executer la requete
$stmt = $pdo->query($sql);
//      ^         ^
//      |         Envoie la requete a MySQL
//      Resultat (objet PDOStatement)

// 4. Parcourir les resultats
while ($client = $stmt->fetch()) {
    // $client = un tableau avec les donnees d'UN client
    echo $client['nom'] . " - " . $client['email'] . "<br>";
}
?>

Décomposition du code 🔍

SELECT * FROM client
  ^    ^   ^    ^
  |    |   |    Nom de la table
  |    |   "DEPUIS" (depuis quelle table ?)
  |    * = "tout" (toutes les colonnes)
  "SELECTIONNE" (recupere des donnees)

$stmt = $pdo->query($sql);
  ^       ^         ^
  |       |         La requete SQL
  |       Methode pour executer
  Resultat (contient les clients)

$client = $stmt->fetch();
  ^         ^         ^
  |         |         Recupere UNE ligne
  |         Le resultat de la requete
  Tableau avec les donnees d'un client

// Exemple de ce qui est dans $client :
$client = [
    'id' => 1,
    'nom' => 'Dupont',
    'email' => 'dupont@email.com'
]

fetch() vs fetchAll() 🆚

while ($client = $stmt->fetch()) {
    echo $client['nom'] . "<br>";
}
// Affiche :
// Dupont
// Martin
// Durand

$clients = $stmt->fetchAll();
// $clients est un GRAND tableau contenant TOUS les clients

foreach ($clients as $client) {
    echo $client['nom'] . "<br>";
}
// Meme resultat mais tout est en memoire d'un coup

Quand utiliser quoi ? 🤔

💀 Partie 3

Le DANGER : Injection SQL

Expliqué très simplement

C'est quoi une injection SQL ? 🤔

Exemple concret - Formulaire de connexion 🔐

Formulaire normal :

Code PHP (DANGEREUX) :

<?php
// Recuperer ce que l'utilisateur a tape
$email = $_POST['email'];
$password = $_POST['password'];

// Construire la requete SQL
$sql = "SELECT * FROM user WHERE email = '$email' AND password = '$password'";
                                                ^                    ^
                                               On met les variables DIRECTEMENT dans le SQL

// Executer
$stmt = $pdo->query($sql);
$user = $stmt->fetch();

if ($user) {
    echo "Connecte !";
} else {
    echo "Erreur";
}
?>

L'attaque en action 💣

Un utilisateur normal tape :

Un PIRATE tape :

Pourquoi ça marche ? 🧐

Autre attaque - Voler des données 🕵️

Site de vente avec recherche de produits :

// Code DANGEREUX
$recherche = $_GET['q'];  // Ce que l'utilisateur tape dans la recherche
$sql = "SELECT * FROM produit WHERE nom LIKE '%$recherche%'";
$stmt = $pdo->query($sql);

Recherche normale :

Attaque :

Comment se protéger ? 🛡️

🛡️ Partie 4

Requêtes Préparées

La protection expliquée simplement

Requête préparée - Le concept 🎯

Code avec requête préparée ✅

<?php
// Recuperer les donnees utilisateur
$email = $_POST['email'];
$password = $_POST['password'];

// ETAPE 1 : Preparer la requete (structure avec marqueurs ?)
$sql = "SELECT * FROM user WHERE email = ? AND password = ?";
                                             ^                ^
                                             Marqueurs (trous)

$stmt = $pdo->prepare($sql);
//           ^
//           "prepare" au lieu de "query" !

// ETAPE 2 : Executer avec les donnees
$stmt->execute([$email, $password]);
//             ^       ^
//             Donnees envoyees separement
//             Position 1  Position 2

// ETAPE 3 : Recuperer le resultat
$user = $stmt->fetch();

if ($user) {
    echo "Connecte !";
} else {
    echo "Erreur de connexion";
}
?>

Explication étape par étape 🔍

$sql = "SELECT * FROM user WHERE email = ? AND password = ?";
$stmt = $pdo->prepare($sql);

$stmt->execute([$email, $password]);

$user = $stmt->fetch();

Marqueurs nommés (alternative) 📛

Au lieu de ?, on peut donner des noms :

<?php
$email = $_POST['email'];
$password = $_POST['password'];

// Marqueurs NOMMES (avec :nom)
$sql = "SELECT * FROM user WHERE email = :email AND password = :pwd";
                                             ^                     ^
                                             Marqueurs nommes

$stmt = $pdo->prepare($sql);

// Execute avec tableau associatif
$stmt->execute([
    ':email' => $email,      // :email sera remplace par $email
    ':pwd' => $password      // :pwd sera remplace par $password
]);

$user = $stmt->fetch();
?>

Pourquoi ça protège ? 🛡️

Exemple complet - Recherche sécurisée 🔍

<?php
// Formulaire de recherche de clients
$nom = $_GET['nom'] ?? '';  // Nom tape par l'utilisateur

// ❌ VERSION DANGEREUSE (ne JAMAIS faire ca !)
// $sql = "SELECT * FROM client WHERE nom LIKE '%$nom%'";
// $stmt = $pdo->query($sql);

// ✅ VERSION SECURISEE (requete preparee)
$sql = "SELECT * FROM client WHERE nom LIKE ?";
$stmt = $pdo->prepare($sql);

// Important : ajouter les % DANS le tableau execute, pas dans le SQL
$stmt->execute(["%$nom%"]);
//               ^    ^
//               On ajoute les % pour le LIKE

// Recuperer les resultats
$clients = $stmt->fetchAll();

// Afficher
foreach ($clients as $client) {
    echo $client['nom'] . " - " . $client['email'] . "<br>";
}
?>

✏️ Partie 5

CRUD - Modifier les données

Create, Read, Update, Delete

C'est quoi CRUD ? 🤔

CREATE - Ajouter un client ➕

Situation : Un nouveau client s'inscrit sur le site

<?php
// Donnees du formulaire d'inscription
$nom = $_POST['nom'];           // Ex: "Dupont"
$prenom = $_POST['prenom'];     // Ex: "Jean"
$email = $_POST['email'];       // Ex: "jean@email.com"

// INSERT avec requete preparee
$sql = "INSERT INTO client (nom, prenom, email) VALUES (?, ?, ?)";
//      ^                   ^                    ^        ^
//      Commande INSERT     Colonnes             Marqueurs
//      (ajouter)           (quelles colonnes)   (donnees)

$stmt = $pdo->prepare($sql);
$stmt->execute([$nom, $prenom, $email]);

// Recuperer l'ID du nouveau client
$newId = $pdo->lastInsertId();
echo "Client ajoute avec l'ID : $newId";
?>

Ce qui se passe dans MySQL 💾

AVANT l'INSERT :

APRÈS l'INSERT :

✅ Nouvelle ligne ajoutée avec ID = 3 (auto-généré)

UPDATE - Modifier un client ✏️

Situation : Le client change son email

<?php
// Donnees du formulaire de modification
$id = $_POST['id'];              // Ex: 3 (quel client ?)
$nouvelEmail = $_POST['email'];  // Ex: "nouveaumail@email.com"

// UPDATE avec requete preparee
$sql = "UPDATE client SET email = ? WHERE id = ?";
//      ^             ^            ^       ^
//      Commande      Quoi         Nouvelle  Condition
//      UPDATE        changer      valeur    (quel client)

$stmt = $pdo->prepare($sql);
$stmt->execute([$nouvelEmail, $id]);

// Verifier si ca a marche
$nb = $stmt->rowCount();  // Nombre de lignes modifiees
if ($nb > 0) {
    echo "Email modifie !";
} else {
    echo "Aucun client trouve avec cet ID";
}
?>

DELETE - Supprimer un client 🗑️

Situation : Le client ferme son compte

<?php
// ID du client a supprimer
$id = $_GET['id'];  // Ex: 3

// DELETE avec requete preparee
$sql = "DELETE FROM client WHERE id = ?";
//      ^           ^          ^
//      Commande    Table      Condition (quel client)
//      DELETE

$stmt = $pdo->prepare($sql);
$stmt->execute([$id]);

// Verifier
$nb = $stmt->rowCount();
if ($nb > 0) {
    echo "Client supprime";
} else {
    echo "Client introuvable";
}
?>

Récapitulatif CRUD 📝