<?xml version="1.0" encoding="ISO-8859-1" ?>
<page title="Documentation sur l'authentification" here="L'authentification">
    <long_title>Documentation Simple Test : tester l'authentification</long_title>
    <content>
        <introduction>
            <p>
                Un des secteurs  la fois dlicat et important lors d'un test de site web reste la scurit. Tester ces schmas est au coeur des objectifs du testeur web de SimpleTest.
            </p>
        </introduction>
        <section name="basique" title="Authentification HTTP basique">
            <p>
                Si vous allez chercher une page web protge par une authentification basique, vous hriterez d'une entte 401. Nous pouvons reprsenter ceci par ce test...
<php><![CDATA[
class AuthenticationTest extends WebTestCase {<strong>
    function test401Header() {
        $this->get('http://www.lastcraft.com/protected/');
        $this->showHeaders();
    }</strong>
}
]]></php>
                Ce qui nous permet de voir les enttes reues...
                <div class="demo">
                    <h1>File test</h1>
<pre style="background-color: lightgray; color: black"><![CDATA[
HTTP/1.1 401 Authorization Required
Date: Sat, 18 Sep 2004 19:25:18 GMT
Server: Apache/1.3.29 (Unix) PHP/4.3.4
WWW-Authenticate: Basic realm="SimpleTest basic authentication"
Connection: close
Content-Type: text/html; charset=iso-8859-1
]]></pre>
                    <div style="padding: 8px; margin-top: 1em; background-color: green; color: white;">1/1 test cases complete.
                    <strong>0</strong> passes, <strong>0</strong> fails and <strong>0</strong> exceptions.</div>
                </div>
                Sauf que nous voulons viter l'inspection visuelle, on souhaite que SimpleTest puisse nous dire si oui ou non la page est protge. Voici un test en profondeur sur nos enttes...
<php><![CDATA[
class AuthenticationTest extends WebTestCase {
    function test401Header() {
        $this->get('http://www.lastcraft.com/protected/');<strong>
        $this->assertAuthentication('Basic');
        $this->assertResponse(401);
        $this->assertRealm('SimpleTest basic authentication');</strong>
    }
}
]]></php>
                N'importe laquelle de ces assertions suffirait, tout dpend de la masse de dtails que vous souhaitez voir.
            </p>
            <p>
                La plupart du temps, nous ne souhaitons pas tester l'authentification en elle-mme, mais plutt les pages protges par cette authentification. Ds que la tentative d'authentification est reue, nous pouvons y rpondre  l'aide d'une rponse d'authentification :
<php><![CDATA[
class AuthenticationTest extends WebTestCase {
    function testAuthentication() {
        $this->get('http://www.lastcraft.com/protected/');<strong>
        $this->authenticate('Me', 'Secret');</strong>
        $this->assertTitle(...);
    }
}
]]></php>
                Le nom d'utilisateur et le mot de passe seront dsormais envoys  chaque requte vers ce rpertoire et ses sous rpertoires. En revanche vous devrez vous authentifier  nouveau si vous sortez de ce rpertoire.
            </p>
            <p>
                Vous pouvez gagner une ligne en dfinissant l'authentification au niveau de l'URL...
<php><![CDATA[
class AuthenticationTest extends WebTestCase {
    function testCanReadAuthenticatedPages() {
        $this->get('http://<strong>Me:Secret@</strong>www.lastcraft.com/protected/');
        $this->assertTitle(...);
    }
}
]]></php>
                Si votre nom d'utilisateur ou mot de passe comporte des caractres spciaux, alors n'oubliez pas de les encoder, sinon la requte ne sera pas analyse correctement. De plus cette entte ne sera pas envoye aux sous requtes si vous la dfinissez avec une URL absolue. Par contre si vous naviguez avec des URL relatives, l'information d'authentification sera prserve.
            </p>
            <p>
                 Pour l'instant, seule l'authentification de base est implmente et elle n'est rellement fiable qu'en tandem avec une connexion HTTPS. C'est gnralement suffisant pour protger le serveur test des regards malveillants. Les authentifications Digest et NTLM pourraient tre ajoutes prochainement.
            </p>
        </section>
        <section name="cookies" title="Cookies">
            <p>
                L'authentification de base ne donne pas assez de contrle au dveloppeur Web sur l'interface utilisateur. Il y a de forte chance pour que cette fonctionnalit soit code directement dans l'architecture web  grand renfort de cookies et de timeouts compliqus.
            </p>
            <p>
                Commenons par un simple formulaire de connexion...
<pre><![CDATA[
<form>
    Username:
    <input type="text" name="u" value="" /><br />
    Password:
    <input type="password" name="p" value="" /><br />
    <input type="submit" value="Log in" />
</form>
]]></pre>
                Lequel doit ressembler ...
            </p>
            <p>
                <form class="demo">
                    Username:
                    <input type="text" name="u" value="" /><br />
                    Password:
                    <input type="password" name="p" value="" /><br />
                    <input type="submit" value="Log in" />
                </form>
            </p>
            <p>
                Supposons que, durant le chargement de la page, un cookie ait t inscrit avec un numro d'identifiant de session. Nous n'allons pas encore remplir le formulaire, juste tester que nous pistons bien l'utilisateur. Voici le test...
<php><![CDATA[
class LogInTest extends WebTestCase {
    function testSessionCookieSetBeforeForm() {
        $this->get('http://www.my-site.com/login.php');<strong>
        $this->assertCookie('SID');</strong>
    }
}
]]></php>
                Nous nous contentons ici de vrifier que le cookie a bien t dfini. Etant donn que sa valeur est plutt nigmatique, elle ne vaut pas la peine d'tre teste.
            </p>
            <p>
                Le reste du test est le mme que dans n'importe quel autre formulaire, mais nous pourrions souhaiter nous assurer que le cookie n'a pas t modifi depuis la phase de connexion. Voici comment cela pourrait tre test :
<php><![CDATA[
class LogInTest extends WebTestCase {
    ...
    function testSessionCookieSameAfterLogIn() {
        $this->get('http://www.my-site.com/login.php');<strong>
        $session = $this->getCookie('SID');
        $this->setField('u', 'Me');
        $this->setField('p', 'Secret');
        $this->clickSubmit('Log in');
        $this->assertWantedPattern('/Welcome Me/');
        $this->assertCookie('SID', $session);</strong>
    }
}
]]></php>
                Ceci confirme que l'identifiant de session est identique avant et aprs la connexion.
            </p>
            <p>
                Nous pouvons mme essayer de duper notre propre systme en crant un cookie arbitraire pour se connecter...
<php><![CDATA[
class LogInTest extends WebTestCase {
    ...
    function testSessionCookieSameAfterLogIn() {
        $this->get('http://www.my-site.com/login.php');<strong>
        $this->setCookie('SID', 'Some other session');
        $this->get('http://www.my-site.com/restricted.php');</strong>
        $this->assertWantedPattern('/Access denied/');
    }
}
]]></php>
                Votre site est-il protg contre ce type d'attaque ?
            </p>
        </section>
        <section name="session" title="Sessions de navigateur">
            <p>
                Si vous testez un systme d'authentification, la reconnexion par un utilisateur est un point sensible. Essayons de simuler ce qui se passe dans ce cas :
<php><![CDATA[
class LogInTest extends WebTestCase {
    ...
    function testLoseAuthenticationAfterBrowserClose() {
        $this->get('http://www.my-site.com/login.php');
        $this->setField('u', 'Me');
        $this->setField('p', 'Secret');
        $this->clickSubmit('Log in');
        $this->assertWantedPattern('/Welcome Me/');<strong>
        
        $this->restart();
        $this->get('http://www.my-site.com/restricted.php');
        $this->assertWantedPattern('/Access denied/');</strong>
    }
}
]]></php>
                La mthode <code>WebTestCase::restart()</code> prserve les cookies dont le timeout a expir, mais conserve les cookies temporaires ou expirs. Vous pouvez spcifier l'heure et la date de leur ractivation.
            </p>
            <p>
                L'expiration des cookies peut tre un problme. Si vous avez un cookie qui doit expirer au bout d'une heure, nous n'allons pas mettre le test en veille en attendant que le cookie expire...
            </p>
            <p>
                Afin de provoquer leur expiration, vous pouvez dater manuellement les cookies, avant le dbut de la session.
<php><![CDATA[
class LogInTest extends WebTestCase {
    ...
    function testLoseAuthenticationAfterOneHour() {
        $this->get('http://www.my-site.com/login.php');
        $this->setField('u', 'Me');
        $this->setField('p', 'Secret');
        $this->clickSubmit('Log in');
        $this->assertWantedPattern('/Welcome Me/');
        <strong>
        $this->ageCookies(3600);</strong>
        $this->restart();
        $this->get('http://www.my-site.com/restricted.php');
        $this->assertWantedPattern('/Access denied/');
    }
}
]]></php>
                Aprs le redmarrage, les cookies seront plus vieux d'une heure et que tous ceux dont la date d'expiration sera passe auront disparus.
            </p>
        </section>
    </content>
    <internal>
        <link>
            Passer au travers d'une <a href="#basique">authentification HTTP basique</a>
        </link>
        <link>
            Tester l'<a href="#cookies">authentification base sur des cookies</a>
        </link>
        <link>
            Grer les <a href="#session">sessions du navigateur</a> et les timeouts
        </link>
    </internal>
    <external>
        <link>
            La page du projet SimpleTest sur <a href="http://sourceforge.net/projects/simpletest/">SourceForge</a>.
        </link>
        <link>
            La page de tlchargement de SimpleTest sur <a href="http://www.lastcraft.com/simple_test.php">LastCraft</a>.
        </link>
        <link>
            <a href="http://simpletest.sourceforge.net/">L'API du dveloppeur pour SimpleTest</a> donne tous les dtails sur les classes et les assertions disponibles.
        </link>
    </external>
    <meta>
        <keywords>
            dveloppement logiciel,
            programmation php,
            php orient client,
            outils de dveloppement logiciel,
            tutorial php,
            scripts php gratuits,
            architecture,
            ressources php,
            objets fantaise,
            php testing,
            php unit,
            mthodologie,
            dveloppement pilot par les tests,
            outils tests html,
            tester des web pages,
            php objets fantaise,
            naviguer automatiquement sur des sites web,
            test automatis,
            scripting web,
            HTMLUnit,
            JWebUnit,
            phpunit,
            php unit testing,
            php web testing,
            test unitaire de systme d'authentification,
            authentification HTTP,
            test de connexion,
            test d'authentification,
            test de scurit
        </keywords>
    </meta>
</page>