Discussion :

[Podyaourth]

Amis développeurs, bonjour.

Je me tourne vers vous aujourd'hui pour espérer recevoir un petit coup de main.
Je suis sur un projet de site Web actuellement et je cherche à faire un système d'authentification (inscription, connexion, déconnexion, gestion de compte, gérer les sessions...), et le tout en Javascript !

Mon projet utilise les technologies : html, css3, AngularJS, bootstrap.

Avant que je ne me fasse tirer les oreilles parce que javascript n'est absolument pas sécurisé pour un système d'authentification, je préviens tout de suite :
Mon projet utilise PhoneGap. Ce sera effectivement une application mobile. Et impossible ici d'utiliser le PHP (Sinon, dieu sait que ce serait résolu depuis bien longtemps)

Donc voilà, je cherche votre aide pour savoir si :
- C'est possible de faire un tel système
- Possible d'utiliser une base mysql pour gérer les utilisateurs

Je connais de nom NodeJS. Etant donné que ce sont des scripts côté serveur, ce sera peut être un peu plus probable de l'utiliser avec mySQL ?


Merci d'avance à tous pour votre aide future !

Podyaourth.

[SpaceFrog]

Je ne vois pas comment tu pourrais attaquer une base sans langage serveur ...

[Podyaourth]

Limite, le problème de bdd mysql peut être contourné.
Je pense que je pourrais me dé**erder pour utiliser un script php quelque part qui stocke les données de la base en JSON, que je peux ensuite gérer en JS.
Sur ce point là, je pense pas avoir de gros soucis.

Mais je cherche surtout un coup de main pour l'authentification uniquement en javascript/html.

[SpaceFrog]

Si tu veux un moulin a vent ...

[Podyaourth]

ça ne tiendrait qu'à moi, j'aurais pas fait comme ça, certes.

Boss : Ouais nan mais fais ça en javascript, c'est une application mobile, on s'en fiche de la sécurité..

Soit.
Donc si vous auriez un site/tuto qui puisse m'aider à faire un moulin à vent en JS, ce serait cool.

[SpaceFrog]

tu peux pas utiliser php du tout ? un ajax vers un script d'authetification par exemple ?

[Podyaourth]

PhoneGap (au cas où, pour ceux qui ne connaissent pas) est un framework qui permet de développer en html/css/js un "site web" responsive en stratégie mobile first.

En gros, je développe un site web normal, mais il sera pas utilisé comme un site web.
Il sera lancé depuis un smartphone/tablette en tant qu'application.

Ce qui veut dire : Pas d'ApacheMysqlPhp


J'ai donc pensé au JSON / Webservice pour récupérer des données (indirectement) depuis une BDD.
La connexion JSON/JS ne me pose pas de soucis.

La seule chose que je ne saurais réaliser, c'est les script pour avoir mon système inscription, connexion, déconnexion.

[SpaceFrog]

Je ne vois pas ce qui empecherait de créer des pages php qui retournent du JSON ...
Ne pas confondre mobile et embarqué...
Si tu n'as pas de connexion internet tu ne pourras pas faire d'authentification ..

[Podyaourth]

Pour utiliser du code PHP, il faut que le site soit utilisé dans un navigateur qui interprète le PHP (ou qui utilise un AMP).
Ici, l'application n'est pas lancée depuis un navigateur à proprement parler.

Je pourrais imager en disant que je veux faire un système d'authentification qui sera lancé dans un navigateur n'interprétant que le html, css, js.

[SpaceFrog]

il faut que le site soit utilisé dans un navigateur qui interprète le PHP

si ça peut te rassurer AUCUN navigateur n'interprète le php
Tu est complètement à coté de la plaque !!!
le navigateur n'interprète que le html js css qui lui est envoyé par le serveur
en amont le serveur lui génère le code envoyé au navigateur avec n'importe quel langage serveur ...

[Podyaourth]

Soit. Je suis à côté de la plaque.

Je vais me débrouiller, merci quand même.

[Spartacusply]

Je plussoie SpaceFrog.

En gros, je développe un site web normal, mais il sera pas utilisé comme un site web.
Il sera lancé depuis un smartphone/tablette en tant qu'application.

OK

Ce qui veut dire : Pas d'ApacheMysqlPhp

Par contre là non, on peut tout à fait attaquer un serveur Web Apache avec une application smartphone... (et il y a une synchronisation locale sur le smartphone avec une bdd type sql Lite par exemple, pour permettre de continuer à utiliser l'applciation même quand toute connexion réseau est coupée).

[Podyaourth]

J'entend bien l'idée.
Je suis loin d'être un pro des applications mobile, ou de quoi que ce soit qui y touche.
Le but du sujet était juste de savoir si quelqu'un connaissait un bon tutoriel qui m'aiderait à développer un système d'authentification en pur javascript.

Sujet qui semblerait voué à l'échec.

Les questions éthiques qui sont autour, du style "Oui mais c'est mieux en php", je suis absolument d'accord, mais si je pouvais faire autrement, je le ferais.

[SpaceFrog]

ce n'est pas une question de mieux en php ...

vu que js s'execute coté client ... cela voudrait dire qu'il te faudrait charger l'integralité des données d'authentification sur le client poru que ton cleint s'authentifie ...

Tu reste toujours sur la notion de "mieux en php" ?

[Bovino]

un système d'authentification en pur javascript

En gros, ça reviendrait à :

Code html :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
<doctype html>
<html>
<head>
    <meta charset="utf-8" />
    <title>Authentification</title>
</head>
<body>
    <div>
        <label for="user">Tapez "admin" dans le champ suivant : </label>
        <input id="user" />
    </div>
    <div>
        <label for="pwd">Tapez "admin" dans le champ suivant : </label>
        <input id="pwd" />
    </div>
    <div>
        <input type="button" id="valideSiGogol" value="S'authentifier" onclick="isGogol()" />
    </div>
</body>
</html>

et

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
8
9
10
function isGogol(){
    if(document.getElementById('user') == 'admin' && document.getElementById('pwd') == 'admin'){
        alert('Bravo ! Tu es bien un admin !');
        return true;
    }
    else{
        alert('Non ! le nom d\'utilisateur et le mot de passe sont "admin" !');
        return false;
    }
}

[Podyaourth]

@Bovino : Oui ça revient exactement à faire ça.
Mais en plus, j'ai un JSON contenant les comptes existants.
Donc c'est ça avec une vérification quand quelqu'un se log, et en plus gérer les sessions car en fonction de si on est connecté ou non j'affiche pas le même contenu sur certaines pages.

... Ce projet est pas bancal du tout. [/ironie]

[Spartacusply]

En pur javascript, cela reviendrait à s'authentifier soit-même, qui bien que ce soit possible (exemple de code, celui de Bovino) est tout autant totalement illogique (pour ne pas dire idiot). On s'authentifie toujours auprès d'un tiers de confiance, par exemple seul l'état est autorisé à te délivrer une carte d'identité car il est la seule autorité reconnue à pouvoir "t'authentifier" en tant que citoyen français.

S'authentifier uniquement en js serait comme créer soit-même sa carte d'identité, et quand plus celle-ci soit reconnu et accepté par la police en cas de contrôle... Totalement aberrant.

Dans le cas d'une application web, la carte d'identité serait la session que tu lances quand tu authentifies l'utilisateur auprès du serveur qui est l'analogie du tiers de confiance, reconnu uniquement par toi certes (tu fais confiance à ton serveur car c'est le tien et tu fais confiance au code que tu as développé pour authentifier l'utilisateur), mais cela est bien suffisant dans le cadre de ton application.

Passer outre le serveur et tout système d'authentification devient aberrant (et pas seulement moins bien)...

[SpaceFrog]

Mais en plus, j'ai un JSON contenant les comptes existants.

donc chargé coté client, en gros tu mets à dispo l'annuaire complet des inscrits avec leur mot de passe ... y'a qu'à se servir

Mais encore une fois rien ne t'empêche d'aller taper un serveur distant...

[Podyaourth]

Mais encore une fois rien ne t'empêche d'aller taper un serveur distant...

Je m'y connais pas bien sur le sujet, mais NodeJS étant executé côté serveur, est-ce qu'il n'y aurait pas moyen de lui envoyer par je ne sais pas quel moyen des identifiants que tape l'utilisateur pour que Node vérifie dans la BDD ?

[Bovino]

J'ai du mal à comprendre tes contraintes et ce que tu essayes réellement de faire...

D'après tes explications, il t'est possible d'avoir NodeJS (que tu ne connais pas) sur un serveur pour faire des requêtes, mais tu n'as pas le droit d'avoir PHP (que tu connais) sur ce même serveur pour faire les mêmes requêtes ?

A la rigueur, dans ce contexte, je te conseillerais de proposer à ton boss de développer ton truc en langage Shakespeare ou Brainfuck si le but est juste d'interdire ce qui est connu...