Introduction à l'authentification - Knowledge of Laravel

Qu’est-ce que l’authentification

L’authentification (Authentication) est le mécanisme qui vérifie « qui » est l’utilisateur qui accède à l’application. Sur une application web, un formulaire de connexion reçoit un e-mail et un mot de passe : si les identifiants sont valides, les informations utilisateur sont stockées en session. Pour les requêtes suivantes, cette session sert à identifier l’utilisateur. L’authentification Laravel repose sur deux concepts : les « gardes » (guards) et les « providers ».

Garde : définit comment authentifier l’utilisateur à chaque requête. Par défaut, la garde session utilise la session et les cookies pour gérer l’état.
Provider : définit comment récupérer les utilisateurs depuis la base. Par défaut, Eloquent est utilisé.

Le fichier de configuration d’authentification est config/auth.php. Ses valeurs par défaut couvrent la plupart des applications web.

Authentification via un kit de démarrage

Avec Laravel, il suffit de choisir un kit de démarrage lors de la création via laravel new pour que la connexion, l’inscription et la réinitialisation du mot de passe soient configurées automatiquement. C’est la méthode recommandée.

Créer l'application

Créez l’application avec l’installateur Laravel. Une invite propose de choisir un kit de démarrage.

laravel new my-app

Vous pouvez choisir entre React, Vue, Livewire et Svelte. Sélectionnez celui qui correspond à la pile technique de votre équipe.

Installer les dépendances frontend

cd my-app
npm install && npm run build

Préparer la base de données

Vérifiez la configuration de base de données dans .env, puis exécutez les migrations.

php artisan migrate

La migration initiale, qui inclut la table users, est appliquée.

Démarrer le serveur de développement

composer run dev

En vous rendant sur http://localhost:8000, vous verrez les liens « Register » et « Log in ». Accédez à /register pour créer un utilisateur.

Le kit de démarrage donne accès immédiat aux fonctionnalités suivantes.

Fonctionnalité	URL
Inscription	`/register`
Connexion	`/login`
Réinitialisation du mot de passe	`/forgot-password`
Vérification de l’e-mail	`/email/verify`
Édition du profil	`/settings/profile`

Le code généré par le kit (contrôleurs, routes, vues) se trouve dans votre application. Vous êtes libre de le modifier et de le personnaliser.

Kits de démarrage disponibles

React

Application SPA moderne construite avec React 19, TypeScript, Tailwind et shadcn/ui. Grâce à Inertia, vous conservez le routage côté serveur tout en utilisant un frontend React.

Vue

Utilise la Composition API de Vue, TypeScript, Tailwind et shadcn-vue. Comme pour React, Inertia sert de pont avec le backend.

Livewire

Utilise Livewire pour construire des UI dynamiques uniquement en PHP. Idéal pour les équipes centrées sur Blade ou celles qui veulent éviter les frameworks JavaScript. La bibliothèque de composants Flux UI est incluse.

Svelte

Utilise Svelte 5, TypeScript, Tailwind et shadcn-svelte. Combiné à Inertia pour construire une SPA moderne.

Façade d’authentification

La façade Auth permet d’obtenir l’utilisateur courant et de vérifier l’état d’authentification.

Récupérer l’utilisateur authentifié

use Illuminate\Support\Facades\Auth;

// Utilisateur courant
$user = Auth::user();

// ID uniquement
$id = Auth::id();

Dans un contrôleur, vous pouvez aussi l’obtenir depuis l’objet Request.

<?php

namespace App\Http\Controllers;

use Illuminate\Http\Request;

class DashboardController extends Controller
{
    public function index(Request $request)
    {
        $user = $request->user();

        return view('dashboard', ['user' => $user]);
    }
}

Vérifier l’état d’authentification

Auth::check() retourne true si l’utilisateur est connecté, false sinon.

use Illuminate\Support\Facades\Auth;

if (Auth::check()) {
    // Connecté
} else {
    // Non connecté
}

Dans un template Blade, les directives @auth et @guest sont pratiques.

@auth
    <p>Bonjour, {{ Auth::user()->name }}</p>
    <a href="/logout">Déconnexion</a>
@endauth

@guest
    <a href="/login">Connexion</a>
    <a href="/register">Inscription</a>
@endguest

Protéger des routes

Pour restreindre une route aux utilisateurs connectés, utilisez le middleware auth.

// routes/web.php

// Accessible aux utilisateurs authentifiés uniquement
Route::get('/dashboard', function () {
    return view('dashboard');
})->middleware('auth');

Un utilisateur non authentifié est redirigé automatiquement vers /login. Pour protéger plusieurs routes, utilisez un groupe.

Route::middleware('auth')->group(function () {
    Route::get('/dashboard', [DashboardController::class, 'index']);
    Route::get('/profile', [ProfileController::class, 'show']);
    Route::get('/settings', [SettingsController::class, 'index']);
});

Sans le middleware auth, un utilisateur non connecté peut accéder aux routes. Appliquez-le systématiquement aux routes protégées.

Routes réservées aux invités

Pour rediriger les utilisateurs déjà connectés, utilisez le middleware guest. Appliqué aux pages de connexion et d’inscription, il redirige les utilisateurs connectés vers le tableau de bord.

Route::middleware('guest')->group(function () {
    Route::get('/login', [AuthController::class, 'showLogin']);
    Route::get('/register', [AuthController::class, 'showRegister']);
});

Authentification manuelle

Pour implémenter la connexion manuellement (sans kit de démarrage), utilisez Auth::attempt().

<?php

namespace App\Http\Controllers;

use Illuminate\Http\Request;
use Illuminate\Http\RedirectResponse;
use Illuminate\Support\Facades\Auth;

class LoginController extends Controller
{
    public function login(Request $request): RedirectResponse
    {
        $credentials = $request->validate([
            'email' => ['required', 'email'],
            'password' => ['required'],
        ]);

        if (Auth::attempt($credentials)) {
            // Succès — régénérer la session pour prévenir les attaques CSRF
            $request->session()->regenerate();

            return redirect()->intended('/dashboard');
        }

        // Échec
        return back()->withErrors([
            'email' => 'L\'e-mail ou le mot de passe est incorrect.',
        ])->onlyInput('email');
    }
}

Le premier argument est un tableau d’identifiants. Le mot de passe est comparé automatiquement au hachage : passez-le en clair. Pour implémenter la fonctionnalité « Se souvenir de moi », passez true comme second argument.

// Utilise la valeur de la case à cocher « Se souvenir de moi »
Auth::attempt($credentials, $request->boolean('remember'));

Même en implémentation manuelle, inspirez-vous du code du kit de démarrage : c’est un excellent exemple de mise en œuvre sécurisée.

Déconnexion

Appelez Auth::logout() pour déconnecter l’utilisateur. Il est recommandé d’invalider la session et de régénérer le token CSRF en même temps.

<?php

namespace App\Http\Controllers;

use Illuminate\Http\Request;
use Illuminate\Http\RedirectResponse;
use Illuminate\Support\Facades\Auth;

class LogoutController extends Controller
{
    public function logout(Request $request): RedirectResponse
    {
        Auth::logout();

        // Invalider la session
        $request->session()->invalidate();

        // Régénérer le token CSRF
        $request->session()->regenerateToken();

        return redirect('/');
    }
}

Utilisez la méthode POST pour la route.

Route::post('/logout', [LogoutController::class, 'logout'])->middleware('auth');

Dans un template Blade, utilisez un formulaire pour envoyer une requête POST.

<form method="POST" action="/logout">
    @csrf
    <button type="submit">Déconnexion</button>
</form>

Récapitulatif

Objectif	Méthode
Ajouter rapidement l’authentification	Kit de démarrage (`laravel new`)
Récupérer l’utilisateur courant	`Auth::user()` / `$request->user()`
Vérifier l’état de connexion	`Auth::check()`
Protéger une route	`->middleware('auth')`
Se connecter manuellement	`Auth::attempt($credentials)`
Se déconnecter	`Auth::logout()`

Prochaines étapes

Middleware

Découvrez plus en détail le middleware auth et la création de vos propres middlewares.

​Qu’est-ce que l’authentification

​Authentification via un kit de démarrage

​Kits de démarrage disponibles

​React

​Vue

​Livewire

​Svelte

​Façade d’authentification

​Récupérer l’utilisateur authentifié

​Vérifier l’état d’authentification

​Protéger des routes

​Routes réservées aux invités

​Authentification manuelle

​Déconnexion

​Récapitulatif

​Prochaines étapes

Middleware

Qu’est-ce que l’authentification

Authentification via un kit de démarrage

Kits de démarrage disponibles

React

Vue

Livewire

Svelte

Façade d’authentification

Récupérer l’utilisateur authentifié

Vérifier l’état d’authentification

Protéger des routes

Routes réservées aux invités

Authentification manuelle

Déconnexion

Récapitulatif

Prochaines étapes