PHP et les expressions régulières

Dans le cadre du contrôle de saisie "côté serveur" il faut vérifier si l'adresse mail saisie à un format correct, si le mot de passe saisi correspond au gabarit exigé, si les numéros de téléphone comprennent bien 10 chiffres, etc.
Concrétement chaque saisie est comparée à une expression régulière ou "regexp".

La fonction preg_match()

Pour vérifier si une saisie coïncide avec une regexp il faut utiliser la fonction preg_match()

Construire une expression régulière

En PHP une regexp doit être délimitée par des # ; le # final peut être suivi d'une option.

Exemple 1

Le code du document PHP (extrait)

...
<h3>Les expressions régulières</h3>
<h4>
<?php
echo "<br>Recherche d'une expression n'importe où dans une chaine "; 
if(preg_match("#paul#", "Je m'appelle Paul")) echo "<br>Vrai pour test1" ; 
	else echo"<br>Faux pour test1"; 
if(preg_match("#paul#i", "Je m'appelle PAUL")) echo "<br>Vrai pour test2" ; 
	else echo"<br>Faux pour test2";
if(preg_match("#paul|louis#", "Je m'appelle Louis")) echo "<br>Vrai pour test3" ; 
	else echo"<br>Faux pour test3";
if(preg_match("#paul|louis#i", "Je m'appelle Paul")) echo "<br>Vrai pour test4" ; 
	else echo"<br><br>Faux pour test4";
if(preg_match("#paul|louis#i", "Je m'appelle Louis")) echo "<br>Vrai pour test5" ; 
	else echo"<br>Faux pour test5";

echo "<br>Recherche d'une expression en début ou en fin de chaine "; 
if(preg_match("#bonjour#i", "Bonjour mes Amis")) echo "<br>Vrai pour test6" ; 
	else echo"<br>Faux pour test6";
if(preg_match("#amis#i", "Bonjour mes Amis")) echo "<br>Vrai pour test7" ; 
	else echo"<br>Faux pour test7";
if(preg_match("#^bonjour#i", "Bonjour mes amis")) echo "<br>Vrai pour test8" ; 
	else echo"<br>Faux pour test8";
if(preg_match("#amis$#i", "Bonjour mes amis")) echo "<br>Vrai pour test9" ; 
	else echo"<br>Faux pour test9";

echo "<br>le regexp coïncide exactement à la chaine :  "; 
if(preg_match("#^bonjour$#i", "Bonjour")) 
	echo "<br>La chaine ne contient que la regexp" ; 
	else echo"<br>La chaine ne se limite pas à la regexp";
if(preg_match("#^bonjour$#i", "Bonjour mes amis !")) 
	echo "<br>La chaine ne contient que la regexp" ; 
	else echo"<br>La chaine ne se limite pas à la regexp";	

?>
</h4>
...

#paul#: recherche de la chaine 'paul' dans la chaine ; la fonction preg_match() retourne false car 'paul' avec un p minuscule n'existe pas ! les regexp sont sensibles à la casse.
#paul#i : après le deuxième # j'ai rajouté l'option "i" qui signifie "insensible à la casse". Donc le test 2 retourne VRAI puisque la chaine comprend le mot 'PAUL'
#paul|louis# : recherce des mots 'paul' ou 'louis" avec respect de la casse donc le test 3 retourne FAUX
#paul|louis#i : recherche des mots 'paul' ou 'louis' SRC (Sans Respect de la Casse). Donc les tests 4 & 5 retournent VRAI
#bonjour#i" : recherche du mot 'bonjour' dans la chaine SRC donc le test 6 retourne VRAI.
#amis#i : à vous de trouver le commentaire et le résultat du test 7
#^bonjour#i : recherche du mot 'bonjour' en début de chaine SRC
#amis$#i : recherche du mot 'amis' en fin de chaine SRC
#^bonjour$#i : la chaine ne doit contenir que la regexp, ni plus ni moins

Pour la dernière regexp notez l'emploi des symboles ^ et $ respectivement en début et fin de regexp ; la chaine qui lui est comparée doit coïncider strictement avec la regexp, ni plus ni moins.

Le rendu

test 1 : même mot mais pas la même casse
test 3 : la chaine contient un des mots possibles pas avec la même casse
dernier test : la chaine contient le mot 'bonjour' mais pas uniquement ...

Les classes et les quantificateurs

Les expressions régulières complexes sont une suite de paires classe - quantificateur

Les classes

Dans une regexp une classe est délimitée par des crochets.
À l'intérieur des crochets une suite de caractères autorisé et/ou un intervalle.

#^[aA]# : la chaine doit commencer par une lettre A minuscule ou majuscule
#[a-z]$# : la chaine doit se terminer par une lettre minuscule
#[a-zéèê]# : la chaine ne peut comprendre que des lettres minuscules
#[A-z]# : la chaine ne peut comprendre que des lettres majuscules ou minuscules.
#[A-z0-9]# : la chaine peut comprendre des caractères alphanumériques non accentués
#[^0-9]# : tous les caractères sont autorisés sauf les chiffres

le ^ en début de classe signifie la négation. Ne confondez pas avec le ^ en début de regexp.

\d équivaut à [0-9]
\D : sauf chiffres équivaut à [^0-9]
\w : n'importe quel caractère alphanumérique y compris underscore ; équivaut à [A-z0-9_]

Les quantificateurs

Dans un regexp un quantificateur est entre accolades.
Un quantificateur indique le nombre de caractères autorisés.

#[a-z]{5}# : 5 lettres minuscules, ni plus ni moins !
#[@]{1}# : 1 symbole @
#[\?\#\^\$\.]{1,} : au moins un métacaractère
#[A-z]{0,1}# :0 ou 1 lettre

Attention les symboles ? # ^ $ . sont utilisés dans la syntaxe des regexp. On les appelle les métacaractères.
Donc si vous les utilisez dans une classe il faut les échapper.

* : 0 à plusieur fois
+ : 1 à plusieurs fois
? : 0 à 1 fois équivaut à {0,1}

Exemple 2

Le code du document PHP (extrait)

...
<h3>Les classes et quantificateurs</h3>
<h4>
<?php
echo "<br>Utilisation des classes : "; 
if(preg_match("#^[cC]#", "Cette phrase commence par la lettre C min ou maj")) 
	echo "<br>Vrai pour test1" ; else echo"<br>Faux pour test1"; 
if(preg_match("#^[bB]#", "Bonjour mes amis")) 
		echo "<br>Vrai pour test2" ; else echo"<br>Faux pour test2"; 

echo "<br>Utilisation des intervalles dans une classe : ";
if(preg_match("#^[A-Z]#", "Cette phrase commence par une majuscule")) 
	echo "<br>Vrai pour test3" ; else echo"<br>Faux pour test3"; 
if(preg_match("#^[a-z]#", "j'ai oublié la majuscule en début de phrase"))
		echo "<br>Vrai pour test4" ; else echo"<br>Faux pour test4"; 
if(preg_match("#[A-z ]#", "Cette phrase ne contient que des lettres et espaces")) 
		echo "<br>Vrai pour test 5" ; else echo"<br>Faux pour test 5"; 
if(preg_match("#[0-9 ]#", "00 07 60 90 26")) 
		echo "<br>Un n° de téléphone" ;
if(preg_match("#[A-zéè0-9: ]#", "Mon téléphone est : 01 02 03 04 05 ")) 
		echo "<br>La chaine est valide"; 
if(preg_match("#[0-9 ]$#", "Mon téléphone est : 03 21 06 07 08")) 
	echo "<br>Un n° de tél en fin de chaine" ;

echo "<br>Utilisation du ^ en début de classe : "; 
if(preg_match("#[^0-9]#", "Cette chaine ne contient pas de chiffres")) echo "<br>Pas de chiffres dans la chaine" ;
if(preg_match("#^[^0-9]#", "Bonjour mes amis")) echo "<br>Pas de chiffre en début" ; 
if(preg_match("#^[^A-Z]#", "j'ai oublié la maj en début de phrase")) echo "<br>Pas de Maj en début " ;

echo "<br>Utilisation des quantificateurs : " ; 
if(preg_match("#[0-9]{10}#", "0670809060")) echo "<br>Suite de 10 chiffres" ;
if(preg_match("#[a-z]{6,}[0-9]{2}#", "sesame59")) 
	echo "<br>Mot de passe avec 6 lettres minimum puis 2 chiffres" ;
if(preg_match("#[A-z0-9\?\!\$\]{8,12]#", "Sesame$59")) 
	echo "<br>Mot de passe valide"; 
if(preg_match("#[A-Z]{0,1}[a-z]{5,}[0-9]{2,}[\?\!\$\#]{1}#", "Sesame$59")) 
	echo "<br>Mot de passe valide" ; 
	else echo"<br>Mot de passe invalide"; 
?>
</h4>

Le rendu

Examinons quelques regexp

#[0-9 ]# : caractères autorisés : chiffres et espace.
#[A-zéè0-9: ]# : caractères autorisés : lettres dont lettres accentuées, chiffres, : et espace.

Dans les deux dernières instructions je compare le mot de passe "Sesame$59" successivement aux regexp #[A-z0-9\?\!\$\]{8,12]# puis #[A-Z]{0,1}[a-z]{5,}[0-9]{2,}[\?\!\$\#]{1}#.
Le premier test retourne "mot de passe valide" et le deuxième "mot de passe invalide".
En effet le premier regexp n'impose par d'ordre : entre 8 et 12 lettre, chiffres et métacaractères.
Le deuxième regexp impose un ordre : une lettre Majuscule (facultatif), au moins 5 lettres minuscules, au moins deux chiffres puis un métacaractère.

Contrôle de saisie PHP des données soumissionnées

Ci-dessous le code d'un document PHP

La feuille de style interne

	input:valid {color : lime;}
	input:invalid {color : red;}

Si le contenu d'un champ correspond à son pattern alors il passe au vert.

Le code du formulaire

...
<form method ="post" action ="#">
<p><label>Saisissez adresse mail</label>
<input type="text" name="email"
		placeholder ="un @ suivi d'un point !" required
		pattern ="^\w{1,}@\w{2,}\.[A-z]{2,4}$" />
<p><label>Saisissez un pseudo</label>
<input type="text" name="pseudo"  
		placeholder ="entre 6 et 10 lettre minuscules" required
		pattern ="^[a-z ]{6,10}$" />
		
<p><label>Saisissez  un mot de passe</label>
<input type="password" name="motpasse" maxlength = '8' required
		placeholder ="entre 6 et 8 caractères alphanumériques"
		pattern ="^\w{6,8}$" />

<p><label>Saisissez  un numéro de téléphone</label>
<input type="text" name="tel" maxlength = '10' required
	placeholder ="10 chiffres collés"
	pattern = "^\d{10}$" />

<p><label></label><button type ="submit" name ="soumission">Envoyez les données</button>
</form>
...

Le contrôle de saisie 'côté navigateur' se limite ici aux attributs pattern

pattern

pour le champ "email" :^\w{1,}@\w{2,}\.[A-z]{2,4}$ ; en effet une adresse mail valide comprend :
- au moins un caractère alphanumériques
- le symbole @
- au moins deux caractères alphanumériques
- le point (un métacaractère qui doit être échappé)
- entre 2 et 4 lettres
- et rien d'autres avant et après d'où les symboles ^ et $
pour le champ 'pseudo' : ^[a-z ]{6,10}$ ; entre 6 et lettres minuscules
pour le champ 'motpasse' : ^\w{6,8}$ ; entre 6 et 8 caractères alphanumériques
pour le champ 'tel' : ^\d{10}$ ; 10 chiffres.
Le script PHP
if (!empty($_POST)) { if(!isset($_POST['email'], $_POST['pseudo'], $_POST['motpasse'], $_POST['tel'])) echo " formulaire incomplet"; else { // pour éviter des injections HTML $email = htmlspecialchars($_POST['email']); $pseudo = htmlspecialchars($_POST['pseudo']); $motpasse = htmlspecialchars($_POST['motpasse']); $tel = htmlspecialchars($_POST['tel']); if(preg_match("#^\w{1,}@\w{2,}\.[A-z]{2,4}$#",$email)) echo " Adresse mail valide" ; else echo " Adresse mail invalide"; if(preg_match("#^[a-z ]{6,10}$#", $pseudo)) echo " Pseudo valide"; else echo " Pseudo invalide"; if(preg_match("#^\w{6,8}$#", $motpasse)) echo " Mot de passe valide"; else echo " Mot de passe invalide"; if(preg_match("#^\d{10}$#", $_POST['tel'])) echo " N° tél valide"; else echo " N° tél invalide"; } } else echo " Renseignez le formulaire";
Mais pourquoi un contrôle de saisie côté serveur ?

Le contrôle 'côté client' n'est-il pas suffisant ?
Via les outils de développement du navigateur, un visiteur malin peut accéder au code HTML et JS et peut le modifier pour sa session.
Ainsi, s'il est mal intentionné, il peut supprimer les attributs pattern & required pour un champ de saisie. Il pourra alors soumissionner tout en laissant le champ vierge OU ET beaucoup plus grave, injecter un instruction HTML : lien vers un site coquin, par exemple.
Donc le script PHP (exécuté côte serveur) doit donc vérifier si :
le tableau $_POST[] n'est pas vide
si $_POST[] n'est pas vide mais que l'une des quatre valeurs n'existe pas alors il affiche un message d'erreur. Sinon il convertit les instructions HTML en chaines.
Ensuite il compare le contenu de chaque champ à une regexp.
Les expressions régulières dans le script PHP sont identiques à celles dans le code HTML sauf que dans le script PHP il faut les délimiter par # afin de préciser qu'il s'agit bien de regexp alors que dans le code HTML et pour l'attribut pattern c'est implicite.
Le rendu

Faites des bêtises, par exemple saisissez à la suite d'une adresse mail / pseudo corect ; le contenu du champ redevient rouge.
Exercice

Esssayez de reconstituer tout le code du document PHP ci-dessous.
Notez le champ qui permet de saisir la date de naissance au format JJ MM AAAA avec en guise de séparateur / ou - ou espace.
Concevez la regEx pour ce champ à utiliser en HTML et en PHP.

Traduction

Débuter en programmation web - sommaire

Initiation au HTML & CSS

Initiation à PHP & MYSQL

Débuter en programmation web - recherche

L'auteur : Patrick Darcheville

PHP et les expressions régulières

La fonction preg_match()

Construire une expression régulière

Exemple 1

Le code du document PHP (extrait)

Le rendu

Les classes et les quantificateurs

Les classes

Les quantificateurs

Exemple 2

Le code du document PHP (extrait)

Le rendu

Examinons quelques regexp

Contrôle de saisie PHP des données soumissionnées

Ci-dessous le code d'un document PHP

La feuille de style interne

Le code du formulaire

Le script PHP

Mais pourquoi un contrôle de saisie côté serveur ?

Le rendu

Exercice