Examen niveau 3 — PHP · GUIDINEE.COM

Examen — questions inédites

12 questions pour valider Bases de données & POO : PDO et requêtes préparées, POO, namespaces et Composer, sécurité XSS/CSRF/hachage.
Répondez à tout, puis cliquez sur Corriger : score et explications s'affichent.

3.1 · Rappel

1. Une requête préparée PDO, c'est d'abord…

Un SMS envoyé à la base Du SQL à marqueurs (prepare) + données à part (execute) Une impression couleur des tables Un redémarrage du serveur

Code et données séparés : la base traite les valeurs comme données pures.

3.1 · Application

2. Riad cherche un client par email saisi. Il écrit…

$pdo->imprimer('SELECT …' . $emailSaisi); $pdo->eteindre($emailSaisi); $pdo->prepare('SELECT … WHERE email = :email'); puis execute(['email' => $emailSaisi]); $pdo->couleur($emailSaisi);

Marqueur nommé + execute() : aucune concaténation, pas d'injection.

3.1 · Arbitrage

3. Un collègue concatène l'entrée « juste pour tester ». Arbitrage correct ?

Noter le mot de passe réel dans le code pour aller vite Refuser : prepare + execute toujours, même en test Imprimer la requête pour vérifier à l'œil Accepter, le test n'est jamais attaqué

Le code de test finit en production ; l'injection naît d'une concaténation.

3.2 · Rappel

4. L'encapsulation recommande…

Aucune classe, que des tableaux Un mot de passe en clair par objet Des propriétés public modifiables partout Des propriétés private + getters/setters qui valident

L'objet protège son état : l'invalide est refusé à la source.

3.2 · Application

5. Riad crée un admin spécialisé depuis Utilisateur. Il écrit…

class Admin extends Utilisateur { … redéfinition … } class Admin imprime Utilisateur class Admin efface Utilisateur class Admin colorie Utilisateur

Extends = réutiliser et spécialiser (relation « est un »).

3.2 · Application

6. Riad veut un contrat Notifiable pour plusieurs classes. Il écrit…

Un copier-coller de la méthode partout Un mot de passe partagé entre classes interface Notifiable { public function getEmail(): string; } puis implements Un commentaire « à peu près notifiable »

L'interface contracte : les classes s'engagent, le code se découple.

3.3 · Rappel

7. Les namespaces servent d'abord à…

Colorer les fichiers du projet Organiser les classes en espaces et éviter les conflits de noms Éteindre le serveur proprement Imprimer les classes sur papier

Deux User coexistent dans des espaces différents (use pour importer).

3.3 · Application

8. Riad installe une bibliothèque d'envoi via Composer. Il écrit…

composer imprimer la bibliothèque Télécharger un ZIP et l'ouvrir à la main composer require nom/bibliotheque puis require 'vendor/autoload.php'; Copier vendor/ d'un voisin sur clé USB

Composer installe, résout et génère l'autoloader PSR-4.

3.3 · Arbitrage

9. Faut-il versionner vendor/ dans Git ? Arbitrage correct ?

Oui, toujours, avec les mots de passe dedans Oui, imprimé et relié Ni l'un ni l'autre, tout en mémoire Non : versionner composer.json + composer.lock, régénérer par install

Vendor/ est régénérable ; le lock garantit la reproductibilité.

3.4 · Rappel

10. Contre le XSS à l'affichage, le réflexe est…

htmlspecialchars() sur toute donnée non fiable Afficher tel quel, la base est à moi Supprimer l'écran du visiteur Changer la police des commentaires

Échappé, le script injecté devient du texte inoffensif.

3.4 · Application

11. Riad stocke un mot de passe à l'inscription. Il écrit…

Envoyer le mot de passe par pigeon voyageur Stocker le mot de passe en clair pour le relire Noter le mot de passe en dur dans le code $hash = password_hash($motDePasse, PASSWORD_DEFAULT); puis stocker le hash en préparée

Haché au stockage, vérifié par password_verify() : jamais en clair.

3.4 · Arbitrage

12. Avant mise en ligne, la boutique affiche des pseudos bruts et n'a aucun jeton CSRF. Arbitrage correct ?

Échapper chaque affichage + jeton CSRF vérifié avant l'ouverture Ouvrir quand même, on verra plus tard Supprimer les pseudos et les formulaires Imprimer les mots de passe pour les garder

XSS et CSRF se ferment avant l'ouverture : chaque sortie a sa parade.

Et après ?

Score ≥ 80 % : passez au Niveau 4 — MVC, Laravel/Symfony et API REST (construire sur des bases saines et sûres).
Score 50-79 % : reprenez les sections ratées (préparées en 3.1, encapsulation en 3.2, PSR-4/Composer en 3.3, quatuor sécu en 3.4) puis refaites le test.
Score < 50 % : relisez le niveau 2 (formulaires, sessions, inclusions) puis rejouez chaque défi 48h dans l'ordre.