Admissions de nouveaux coop&eacute;rateurs


Une nouvelle ann&eacute;e avec des perspectives ambitieuses


Bilan de l&rsquo;ann&eacute;e &eacute;coul&eacute;e


Le lundi 7 juin, nous nous sommes toutes et tous réuni·e·s pour participer à l’Assemblée Générale Ordinaire 2021 de Les-Tilleuls.coop, qui permet notamment de statuer sur les candidatures proposées au sociétariat. Les comptes et le résultat de l’année écoulée sont également présentés et soumis à approbation à l’ensemble des salariés associés. Le bilan de notre activité est également abordé au cours de cet événement incontournable de la vie de notre coopérative.



<figure class="wp-block-image"><a href="https://les-tilleuls.coop/fr/agency/social-project" target="_blank" rel="noopener"><img src="https://api.les-tilleuls.coop/wp-content/uploads/2021/08/436.jpg" alt="ago2021" title="ago2021"/></a></figure>



<h3>Bilan de l’année écoulée</h3>



Contexte COVID-19 oblige, l’année passée n’aura pas été de tout repos pour notre Scop qui, avant même l’annonce du confinement du mois de mars, <a href="https://les-tilleuls.coop/fr/blog/article/covid-19" target="_blank" rel="noopener">avait temporairement fermé au public ses différents locaux et instauré le télétravail — déjà pratiqué à temps partiel — à 100%</a>. Lorsque le confinement fut annoncé, nous disposions déjà de matériel, outils et méthodes rodées permettant un basculement vers le “full remote” rapide et sans accroche.



Côté offres, pas de changement à noter et des résultats très positifs : toutes nos activités de conseil, développement et formation ont été poursuivies à distance et nous ont même permis de collaborer avec de nouveaux partenaires basés au Royaume Uni et en Allemagne.



Notre Scop s’est également démarquée au printemps dernier en lançant <a href="https://les-tilleuls.coop/fr/blog/article/sylius-click-n-collect-desormais-disponible-en-version-hebergee" target="_blank" rel="noopener">Click &lsquo;N&rsquo; Collect</a>, une plateforme libre et Open Source basée sur Sylius permettant aux commerçants de maintenir différemment leurs activités pendant cette crise sanitaire. Toujours d’un point de vue technique, nous pouvons souligner la sortie de <a href="https://les-tilleuls.coop/fr/blog/article/api-platform-2-6" target="_blank" rel="noopener">la version 2.6 d’API Platform</a>, <a href="https://les-tilleuls.coop/fr/blog/article/mercure-0-10" target="_blank" rel="noopener">la version 0.10 de Mercure</a> et <a href="https://les-tilleuls.coop/fr/blog/article/panther-1-0" target="_blank" rel="noopener">la version 1.0 de Panther</a>.



Enfin, nous avons continué de partager avec plaisir nos connaissances et présenté nos outils à travers divers événements nationaux et internationaux tenus à distance (même si nous croisons les doigts pour que cette adaptation devienne progressivement un souvenir lointain). Nous profitons de ce point pour vous rappeler que vous pourrez retrouver nos coopérateurs <a href="https://twitter.com/chalas_r" target="_blank" rel="noopener">Robin Chalas</a> et Kévin Dunglas parmi les orateurs du <a href="https://live.symfony.com/2021-world/" target="_blank" rel="noopener">Symfony World</a> qui se déroulera en fin de semaine.



<h3>Admissions de nouveaux coopérateurs</h3>



Lors de l’AGO, nous avons coopté <a href="https://twitter.com/rhedynen_" target="_blank" rel="noopener">Vincent Fuger</a>, <a href="https://github.com/grimpereau" target="_blank" rel="noopener">Jade Bellereau</a>, <a href="https://twitter.com/c0il" target="_blank" rel="noopener">Loïc Vernet</a>, <a href="https://fr.linkedin.com/in/c%C3%A9cile-ropital-536548104" target="_blank" rel="noopener">Cécile Ropital</a> et <a href="https://twitter.com/nik0phil" target="_blank" rel="noopener">Nicolas Philippe</a>, tous admis comme coopérateurs à l’unanimité. Félicitations à toutes et à tous ! Notre conseil de surveillance a également été en partie renouvelé : Jade Bellereau et Cécile Ropital rejoignent <a href="https://twitter.com/_alanpoulain" target="_blank" rel="noopener">Alan Poulain</a>, <a href="https://twitter.com/s0yuka" target="_blank" rel="noopener">Antoine Bluchet</a>, <a href="https://twitter.com/gheb_dev" target="_blank" rel="noopener">Grégoire Hébert</a> et <a href="https://twitter.com/jockkos" target="_blank" rel="noopener">Jacques Lefèbvre</a> au sein de ce pôle chargé, entre autres, de la surveillance des comptes et des pratiques de la coopérative.



<h3>Une nouvelle année avec des perspectives ambitieuses</h3>



La gérance de notre coopérative, assurée par <a href="http://twitter.com/dunglas" target="_blank" rel="noopener">Kévin Dunglas</a> depuis notre fondation en 2011, a également évoluée. Suite à une expérimentation menée depuis le début de l’année 2021, nous avons le plaisir d’annoncer que Les-Tilleuls.coop est désormais codirigée par <a href="https://twitter.com/marion_age" target="_blank" rel="noopener">Marion Agé</a>, qui assure maintenant la direction stratégique de l’entreprise avec Kévin. Côté mode de fonctionnement, rien ne change : l’ensemble des décisions importantes restent prises par l’Assemblée Générale qui se réunit tous les mois et nos deux cogérant·e·s disposent d’un mandat impératif révocable pour les mettre en œuvre. Nous reviendrons prochainement dans un article dédié sur les raisons qui nous ont poussés à mettre en place cette co-gérance paritaire.



Notre coopérative, qui fête cette année ses 10 ans, est ravie de s’inscrire dans la continuité de la croissance connue depuis ses débuts tout en renouvelant sa gestion interne. Nous adressons à Marion Agé toutes nos félicitations et tous nos encouragements dans cette nouvelle étape qui s’ouvre pour elle et pour notre Scop !



Désormais nos yeux sont rivés vers le mois de septembre avec le lancement prévu de <a href="https://api-platform.com/con/2021/#" target="_blank" rel="noopener">notre première API Platform Con</a>, une journée de conférences francophones et anglophones durant laquelle l’écosystème des APIs sera représenté par des oratrices et orateurs de renom. Un peu plus de la moitié des speakers a été annoncée, <a href="https://api-platform.com/con/2021/#pricing" target="_blank" rel="noopener">pensez à vous inscrire</a> avant que les places ne s’épuisent !

[Assemblée Générale Ordinaire 2021] Élection d’une co-gérante : Marion Agé et une année 2020 très réussie malgré la crise

Le lundi 7 juin, nous nous sommes toutes et tous réuni·e·s pour participer à l’Assemblée Générale Ordinaire 2021 de Les-Tilleuls.coop, qui permet notamment de statuer sur les candidatures proposées au sociétariat. Les comptes et le résultat de l’année écoulée sont également présentés et soumis à approbation à l’ensemble des salariés associés. Le bilan de notre [&hellip;]

[Assemblée Générale Ordinaire 2021] Élection d’une co-gérante : Marion Agé et une année 2020 très réussie malgré la crise | Les-Tilleuls.coop

Les-Tilleuls.coop

https://api.les-tilleuls.coop/wp-content/uploads/2021/08/438.jpg

Accueil

https://secure.gravatar.com/avatar/54fb8ea2a1a36c3b9ef44f25bf976b48?s=96&d=mm&r=g

Cécile Hamerel

Le rendez-vous a lieu dans moins de trois semaines et chez Les-Tilleuls.coop, nous attendons fébrilement le jour J : <a href="https://event.afup.org/" target="_blank" rel="noopener">l&rsquo;AFUP Day fait son grand retour pour la troisième année consécutive</a> et nous y serons en tant que sponsor national de l&rsquo;événement !



<center><blockquote class="twitter-tweet">Encore un sponsor qui nous donne le sentiment qu’il nous suivrait au bout du monde : merci aux <a href="https://t.co/pfpkHQSeip">https://t.co/pfpkHQSeip</a> de nous soutenir dans la bascule en ligne de l’AFUP Day 2021 ! <a href="https://twitter.com/coopTilleuls?ref_src=twsrc%5Etfw">@coopTilleuls</a>, sponsor de l’AFUP Day 2021 Lille/Rennes et Toulouse/Tours &#8211; éditions en ligne <a href="https://t.co/jhlLTV6aG0">pic.twitter.com/jhlLTV6aG0</a>— AFUP (@afup) <a href="https://twitter.com/afup/status/1386626104484581386?ref_src=twsrc%5Etfw">April 26, 2021</a></blockquote>
<script async="" src="//platform.twitter.com/widgets.js" charset="utf-8"></script></center>



Nous vous donnons rendez-vous à partir du 28 mai pour le premier volet de l&rsquo;événement, en compagnie des équipes bénévoles lilloises et rennaises. En plus de soutenir l&rsquo;AFUP depuis de nombreuses années, nous avons la chance d&rsquo;avoir deux de nos coopérateurs listés dans la programmation lilloise : <a href="https://twitter.com/nitneuk_y" target="_blank" rel="noopener">Quentin Barloy</a> nous fera un retour d&rsquo;expérience sur la migration des applications Arte vers l&rsquo;orchestrateur Kubernetes (il dévoile d&rsquo;ailleurs <a href="https://event.afup.org/afupday2021-interview-quentin-barloy/" target="_blank" rel="noopener">dans cette interview</a> pourquoi c&rsquo;est Kubernetes qui fut choisi pour ce projet).



<center><blockquote class="twitter-tweet">Envie d&rsquo;en savoir plus sur Kubernetes? Retrouvez moi lors de l&rsquo;AFUP Day Lille, je vous parlerai de la migration vers k8s des applications <a href="https://twitter.com/ARTEfr?ref_src=twsrc%5Etfw">@ARTEfr</a> <a href="https://twitter.com/hashtag/docker?src=hash&amp;ref_src=twsrc%5Etfw">#docker</a> <a href="https://twitter.com/hashtag/kubernetes?src=hash&amp;ref_src=twsrc%5Etfw">#kubernetes</a> <a href="https://t.co/SuEj8iYfDs">https://t.co/SuEj8iYfDs</a>— Quentin Barloy #OnEstLaTech (@nitneuk_y) <a href="https://twitter.com/nitneuk_y/status/1378998073603592192?ref_src=twsrc%5Etfw">April 5, 2021</a></blockquote></center>



De son côté, <a href="https://twitter.com/dunglas" target="_blank" rel="noopener">Kévin Dunglas</a> reviendra sur l&rsquo;arrêt de la technologie Server Push, ses solutions de remplacement et leurs cas d&rsquo;usage (notamment avec PHP). Il paraîtrait même que le protocole <a href="http://vulcain.rocks" target="_blank" rel="noopener">Vulcain</a> n&rsquo;a pas dit son dernier mot à ce sujet.



<center><blockquote class="twitter-tweet">On ne le présente plus, incontournable speaker de nos événements, et il a toujours plein de nouvelles choses à nous raconter : <a href="https://twitter.com/dunglas?ref_src=twsrc%5Etfw">@dunglas</a> sera des nôtres à l’AFUP Day 2021 Lille/Rennes le 28 mai, et il est notre invité pour l’interview du jour ! <a href="https://t.co/uz7t3IFztx">https://t.co/uz7t3IFztx</a> <a href="https://t.co/tSeVHYusDC">pic.twitter.com/tSeVHYusDC</a>— AFUP (@afup) <a href="https://twitter.com/afup/status/1386575774203977729?ref_src=twsrc%5Etfw">April 26, 2021</a></blockquote></center>



Le reste de la programmation, toutes villes confondues est tout aussi alléchant et la retransmission en ligne, via Livestorm et Workadventure, promet une expérience enrichissante pour la communauté PHP ! <a href="https://afup.org/event/afupday2021enligne/tickets" target="_blank" rel="noopener">Vous avez pris votre place </a>? Nous serons ravi·e·s de vous apercevoir sur notre stand virtuel proposé pour l&rsquo;occasion !

Les-Tilleuls.coop sponsor et speaker de l'AFUP Day 2021

Le rendez-vous a lieu dans moins de trois semaines et chez Les-Tilleuls.coop, nous attendons fébrilement le jour J : l&rsquo;AFUP Day fait son grand retour pour la troisième année consécutive et nous y serons en tant que sponsor national de l&rsquo;événement ! Encore un sponsor qui nous donne le sentiment qu’il nous suivrait au bout [&hellip;]

Les-Tilleuls.coop sponsor et speaker de l'AFUP Day 2021 | Les-Tilleuls.coop

https://api.les-tilleuls.coop/wp-content/uploads/2021/08/435.jpg

Les-Tilleuls.coop sponsor et speaker de l&rsquo;AFUP Day 2021

Ces derniers jours, dans le monde de la tech, l’entreprise Basecamp a <a href="https://world.hey.com/jason/changes-at-basecamp-7f32afc5" target="_blank" rel="noopener">beaucoup fait parler d’elle</a>. Pour résumer et sans prendre parti sur le fond de l’affaire : suite à des divergences internes quant aux problèmes liés à la diversité, Jason Fried et David Heinemeier Hansson (les dirigeants) ont décidé de changer radicalement la politique d’entreprise pourtant connue pour ses prises de positions sur l’organisation “libérée” du travail. Résultat : en quelques jours, plus d’un tiers des effectifs est sur le départ.



<figure class="wp-block-image"><img src="https://api.les-tilleuls.coop/wp-content/uploads/2021/08/434.jpg" alt="null" title="Evil boss"/></figure>







On pourrait consacrer un article entier sur chacun des points qu’ils ont décidé de “révolutionner” mais un paragraphe a choqué plusieurs de nos coopérateur·rice·s :



<blockquote class="wp-block-quote">“Who&rsquo;s responsible for these changes? David and I are. Who made the changes? David and I did. These are our calls, and the outcomes and impacts land at our doorstep.”</blockquote>



Depuis une dizaine d’années et avec Basecamp en fer de lance, les notions d’entreprise libérée, de management éclairé, <a href="https://fr.wikipedia.org/wiki/Holacratie" target="_blank" rel="noopener">d’holacratie</a> ont fait leur chemin. La promesse ? Apporter le bonheur aux employé·e·s qui, par la force des choses, deviendraient plus productif·ve·s. Beaucoup de théories et de pratiques ont vu le jour : largesses sur les horaires, les congés, compression de la hiérarchie, partage des décisions… Notez ici qu’il est toujours question de productivisme, l’objectif ne portant pas sur l’épanouissement mais sur la rentabilité. Étonnamment, lorsqu’une de ces sociétés tente de vous faire entrer dans leurs rangs et que vous demandez à faire partie du cercle de décisions stratégiques de l’entreprise, une légère résistance se fait sentir, mais passons.



Dans une entreprise libérée et en bonne santé, les salarié·e·s font partie d’un tout, sont intégré·e·s aux prises de décision, sont responsabilisé·e·s, considéré·e·s et tout va bien dans le meilleur des mondes. Mais que se passe-t-il lorsqu’une crise survient, comme <a href="https://www.platformer.news/p/-what-really-happened-at-basecamp" target="_blank" rel="noopener">ça a été le cas pour Basecamp</a> ? Dans ce genre de situation, la <a href="https://rebellyon.info/Liberte-des-liberaux-et-liberte-des-21655" target="_blank" rel="noopener">définition libérale</a> du terme “liberté” ressort beaucoup plus que son pendant libertaire. Pour Basecamp, mais c’est aussi ce que j’ai pu observer de ma propre expérience, le château de cartes s’effondre rapidement et la promesse de participer aux décisions est vite oubliée. Hypocrisie du système ? Peut-être. Quelques que soient les promesses d’intégration des collaborateur·rice·s, en cas de coup dur, les dirigeants ne sont tenus à rien et c’est exactement ce qu’ont prouvé Jason Fried et DHH : la décision finale, le sort de toute l’entreprise n’appartient qu’à eux. Seul le statut de SCOP ou plus largement, les coopératives inscrivent dans leurs fondations que les décisions sont collégiales et qu’un dirigeant qui souhaiterait aller contre l’avis général pourrait être révoqué.



On entend souvent dans le monde du travail : “Personne n’est irremplaçable”. Je pense tout l’inverse : dans une entreprise, personne n’est remplaçable. Une société est un ensemble d&rsquo;individualités, son ADN évolue constamment : à chaque arrivée et à chaque départ. Si l’effectif évolue constamment, comment pourrait-on imaginer que la gouvernance reste immuable ? Qu’un groupe restreint de personnes, issus de la genèse de la société, décide de l’épanouissement d’un ensemble en mouvement ? Et sous quel prétexte ? La fameuse prise de risque capitalistique originelle ? À une époque comme la nôtre où la crise sanitaire risque d’être suivie de crises économiques et écologiques, tous les acteurs ont besoin d’agir ensemble et pour ce faire, la gouvernance ne peut être confisquée par un petit nombre.



Les entreprises libérées, les holacraties, déguisent leur libéralisme derrière une tentative de copie du modèle coopératif, cependant elles n’en ont que l’apparence et le fondement même de ce modèle : contrôle des décisions et répartition des bénéfices, leur est étranger. Les SCOP s’inscrivent dans une vague de changement, un besoin réel de vraie démocratie à l’échelle locale ou nationale et il ne tient qu’à vous d’<a href="https://github.com/decentral1se/tech-coops" target="_blank" rel="noopener">en faire partie</a>.



<a href="https://www.freepik.com/macrovector" target="_blank" rel="noopener">Crédit photo</a>

La gouvernance "libérée"... mouais

Ces derniers jours, dans le monde de la tech, l’entreprise Basecamp a beaucoup fait parler d’elle. Pour résumer et sans prendre parti sur le fond de l’affaire : suite à des divergences internes quant aux problèmes liés à la diversité, Jason Fried et David Heinemeier Hansson (les dirigeants) ont décidé de changer radicalement la politique [&hellip;]

La gouvernance "libérée"... mouais | Les-Tilleuls.coop

https://api.les-tilleuls.coop/wp-content/uploads/2021/08/434.jpg

La gouvernance « libérée »&#8230; mouais

https://secure.gravatar.com/avatar/83acd587cb359657160167fdbe527eef?s=96&d=mm&r=g

Grégory Copin

Une menace pour les libert&eacute;s et la vie priv&eacute;e


Qu&rsquo;est-ce que le Federated Learning of Cohorts (FLoC) ?


En tant qu'utilisateur&middot;trice :

En tant que d&eacute;veloppeur&middot;se :

Sources&nbsp;: <a href="https://www.eff.org/fr/deeplinks/2021/03/googles-floc-terrible-idea" target="_blank" rel="noopener">https://www.eff.org/fr/deeplinks/2021/03/googles-floc-terrible-idea</a> &amp; <a href="https://plausible.io/blog/google-floc" target="_blank" rel="noopener">https://plausible.io/blog/google-floc</a>&nbsp;



Google mène la charge pour <a href="https://blog.chromium.org/2020/01/building-more-private-web-path-towards.html" target="_blank" rel="noopener">remplacer les cookies tiers</a> au profit d’une nouvelle série de technologies permettant de proposer un meilleur ciblage tout en préservant la vie privée des utilisateurs. Parmi elles, se trouve une technologie nommée FLoC, qui renforce à nouveau le pouvoir des GAFAM et renforce le <a href="https://coveryourtracks.eff.org/">fingerprinting</a>. Découvrons ensemble&nbsp;en quoi cette solution consiste et pourquoi elle est problématique.



<h3>Qu’est-ce que le Federated Learning of Cohorts (FLoC) ?</h3>



Le&nbsp;<a href="https://github.com/WICG/floc" target="_blank" rel="noopener">Federated Learning of Cohorts</a> ou l&rsquo;apprentissage fédéré des cohortes (FLoC) est une solution proposée par Google qui permet aux entreprises de réaliser un ciblage publicitaire ou comportemental sans cookie, sans consentement et avec <a href="https://searchengineland.com/googles-current-floc-tests-arent-gdpr-compliant-347168" target="_blank" rel="noopener">un respect du RGPD discutable</a>.&nbsp;



Au lieu de suivre les individus sur le web à l&rsquo;aide d&rsquo;outils tels que Google Analytics qui reposent sur les cookies tiers, c’est le navigateur Chrome lui-même qui va observer le comportement de tous les internautes et qui va les classer dans des cohortes aux intérêts, habitudes et comportements similaires, pour ensuite les cibler avec des publicités personnalisées. Selon Google, chaque cohorte devrait regrouper au minimum quelques milliers d&rsquo;utilisateurs.



Google teste FLoC depuis la sortie de la version 89 de son navigateur aux États-Unis, au Canada, en Australie, au Brésil, au Japon et dans plusieurs autres pays. Le géant américain prévoit de l&rsquo;activer pour tous les utilisateurs d’ici la fin de l’année.&nbsp;



<h3>Comment fonctionne le FLoC ?</h3>



Avec cette technologie, le navigateur de chaque utilisateur partagera avec les sites web et les annonceurs des identifiants de cohortes, indiquant à quels groupes d’internautes il ou elle appartient. En résumé, vos identifiants de cohortes seront comme un résumé succinct de votre activité récente sur le Web et cette activité de navigation sera réduite à une étiquette comportementale envoyée aux sites et annonceurs.



De l’autre côté, les sites et régies publicitaires communiquent avec <a href="https://github.com/google/ads-privacy/blob/master/proposals/FLoC/FLOC-Whitepaper-Google.pdf" target="_blank" rel="noopener">l’API du système de cohortes</a> et délivrent des publicités ciblées non plus individuellement, mais à des groupes d&rsquo;utilisateurs relativement similaires. Cette API démocratise l&rsquo;accès à certaines informations relatives à l&rsquo;historique de navigation d&rsquo;une personne (et donc à ses intérêts généraux) pour tout site qui en fait la demande. Les sites qui connaissent les données personnelles d&rsquo;une personne (par exemple, lorsqu’une personne se connecte en utilisant son adresse email) pourraient enregistrer et révéler leur cohorte. Cela signifie que les informations sur les intérêts d&rsquo;une personne peuvent éventuellement devenir publiques, par exemple suite à une fuite de données comme celle qui <a href="https://www.businessinsider.fr/us/stolen-data-of-533-million-facebook-users-leaked-online-2021-4" target="_blank" rel="noopener">a récemment touché 533 millions d’utilisateurs de Facebook</a>. Pour que FLoC soit utile aux annonceurs, la cohorte d&rsquo;un utilisateur révélera forcément des informations sur son comportement et sans surprise, cela créera des risques concernant la protection de la vie privée.



Les cohortes FLoC ne devraient pas fonctionner comme des identifiants en soi sauf que toute entreprise capable d&rsquo;identifier un utilisateur &#8211; par exemple, en offrant des services de « connexion avec Google » &#8211; sera en mesure de relier les informations obtenues par FLoC au profil de l&rsquo;utilisateur.



Deux catégories d&rsquo;informations peuvent être exposées de cette manière :



<ul><li role="presentation">Des&nbsp;informations spécifiques sur l&rsquo;historique de navigation. Les traqueurs peuvent être en mesure de déterminer que tout utilisateur appartenant à une cohorte spécifique a probablement ou certainement visité des sites spécifiques (si en recoupant nos données avec celles d&rsquo;autres sources et sachant que Pierre, Paul&nbsp;et 100 autres utilisateurs ont visité le site A&nbsp;et font partie de la cohorte B, on peut statistiquement inférer que Martin&nbsp;a très probablement aussi visité ce site).&nbsp;</li><li role="presentation">Des informations générales sur les données démographiques ou les centres d’intérêts.&nbsp;</li></ul>



Tous les sites que vous visitez sauront quel type de personne vous êtes au premier contact, sans avoir à vous suivre à travers le web. De plus, comme votre cohorte FLoC sera mise à jour au fil du temps, les sites qui peuvent vous identifier par d&rsquo;autres moyens seront également en mesure de suivre l&rsquo;évolution de votre navigation.&nbsp;



<h3>Une menace pour les libertés et la vie privée</h3>



L&rsquo;objectif affiché de FLoC est d&rsquo;éviter de laisser des traqueurs accéder à des informations spécifiques liées à des personnes spécifiques, sauf que FLoC peut en réalité aider les traqueurs dans d’autres contextes. Même si Google est en mesure d&rsquo;itérer sur sa conception, l&rsquo;objectif principal du FLoC est en contradiction avec les libertés civiles.&nbsp;Les préjudices de la publicité ciblée ne se limitent pas aux violations de la vie privée, la publicité ciblée a aussi le pouvoir de discriminer.&nbsp;



Par définition, les publicités ciblées permettent aux annonceurs d&rsquo;atteindre certains types de personnes tout en en excluant d&rsquo;autres. Au fil des ans, le mécanisme de la publicité ciblée a souvent été utilisé à des fins d&rsquo;exploitation, de <a href="https://www.reuters.com/article/us-facebook-advertisers/u-s-charges-facebook-with-racial-discrimination-in-targeted-housing-ads-idUSKCN1R91E8" target="_blank" rel="noopener">discrimination</a> ou de <a href="https://stoponlinevaw.com/wp-content/uploads/2018/10/Black-ID-Target-by-Russia-Report-SOVAW.pdf" target="_blank" rel="noopener">manipulation</a>.



FLoC utilise un algorithme non supervisé pour créer ses cohortes. Cela signifie que personne n&rsquo;aura un contrôle direct sur la façon dont les gens seront regroupés. Idéalement, pour les annonceurs, FLoC créera des groupes ayant en commun des comportements et des intérêts significatifs. Mais le comportement en ligne est lié à toutes sortes de caractéristiques sensibles &#8211; des données <a href="https://ojs.aaai.org/index.php/ICWSM/article/view/14776" target="_blank" rel="noopener">démographiques</a> telles que le genre, l&rsquo;origine ethnique, l&rsquo;âge et le revenu, <a href="https://www.pnas.org/content/117/30/17680" target="_blank" rel="noopener">des traits de personnalité</a> et <a href="https://link.springer.com/chapter/10.1007/978-3-642-23620-4_22" target="_blank" rel="noopener">même la santé mentale</a>. Il est fort probable que FLoC regroupera également les utilisateurs selon certains de ces axes.



Avec un système d&rsquo;opt-in pour les annonceurs, et d’opt-out pour les utilisateurs, Google se vante d’une transparence et d’un contrôle fait directement par l&rsquo;utilisateur, tout en sachant pertinemment que la grande majorité de ses utilisateurs ne comprendront pas le fonctionnement du FLoC, voire n’auront pas conscience de son existence, et que très peu d&rsquo;entre eux feront l&rsquo;effort de le désactiver.&nbsp;



Chez Les-Tilleuls.coop, nous rejetons catégoriquement cette technologie. Le web devrait avant tout être au service des utilisateurs, et non à celui des publicitaires ou de la surveillance de masse.



<h3>Que faire ?</h3>



<h4>En tant qu&rsquo;utilisateur·trice :</h4>



N&rsquo;utilisez pas Google Chrome. Utilisez Firefox et installez l&rsquo;extension <a href="https://addons.mozilla.org/fr/firefox/addon/ublock-origin/" target="_blank" rel="noopener">uBlock Origin</a> qui bloque toutes les publicités et trackers.&nbsp;Dans les paramètres de Firefox, section « Vie privée&nbsp;et sécurité », activez&nbsp;le mode « Strict ». Si vous aimez utiliser Google Chrome, il est possible de désactiver le FLoC. Cela signifie que Google vous placera dans une cohorte aléatoire au lieu d&rsquo;une cohorte précise.



Google a aussi annoncé une option dans les paramètres de Chrome pour refuser FLoC :



<ul><li role="presentation">Déconnectez-vous de votre compte Google et désactivez la synchronisation des données d&rsquo;historique avec Chrome.</li><li role="presentation">Bloquez les cookies tiers ou naviguez en mode privé.</li><li role="presentation">Désactivez les options suivantes dans les contrôles d&rsquo;activité : « Activité sur le Web et les applications », “Inclure l&rsquo;historique Chrome et l&rsquo;activité liée aux sites, aux applications et aux appareils qui utilisent les services Google ».</li><li role="presentation">Décochez l’option de personnalisation dans les paramètres de <a href="https://adssettings.google.com/authenticated?hl=enhttps://adssettings.google.com/authenticated?hl=en" target="_blank" rel="noopener">Google Ads</a>. Vous pouvez aussi consulter et contrôler cette personnalisation <a href="http://www.youronlinechoices.com/fr/controler-ses-cookies/" target="_blank" rel="noopener">ici</a>.</li></ul>



<a href="https://www.eff.org/" target="_blank" rel="noopener">L&rsquo;EFF</a> a aussi lancé début avril <a href="https://amifloced.org/" target="_blank" rel="noopener">Am I FLoCed</a>, un site permettant de savoir si votre navigateur fait partie d’une cohorte.&nbsp;



<h4>En tant que développeur·se :</h4>



Vous pouvez déclarer à Google que votre site ne souhaite pas être inclus dans la liste des sites pour le calcul de la cohorte. Si vous ne déclarez rien,&nbsp;cela&nbsp;sera activé uniquement si le site affiche des publicités ciblées ou utilise l&rsquo;API JavaScript de FLoC.



Pour le désactiver sur votre site, définissez l’en-tête HTTP suivante :



<pre class="wp-block-preformatted">Permissions-Policy: interest-cohort=()</pre>



Plusieurs outils ou technologies sont déjà en train de mettre en place cet en-tête sur leurs sites parmi lesquels :&nbsp;&nbsp;



<ul><li role="presentation"><a href="https://github.com/api-platform/api-platform/pull/1879" target="_blank" rel="noopener">API Platform</a></li><li role="presentation"><a href="https://github.com/caddyserver/website/pull/152" target="_blank" rel="noopener">Caddy</a>&nbsp;</li><li role="presentation"><a href="https://github.com/php/web-php/commit/9bc507afae21c9da1c30ee1ab0654fea8150549b" target="_blank" rel="noopener">PHP</a></li><li role="presentation"><a href="https://make.wordpress.org/core/2021/04/18/proposal-treat-floc-as-a-security-concern/" target="_blank" rel="noopener">WordPress</a></li></ul>



Et vous, que pensez-vous de cette initiative de Google ? Connaissez-vous d&rsquo;autres projets qui ont mis en place l&rsquo;en-tête empêchant d&rsquo;être inclus dans ces listes ? <a href="https://twitter.com/coopTilleuls" target="_blank" rel="noopener">Dites-le nous</a> !&nbsp;

Pourquoi Google FLoC est problématique pour la sécurité des utilisateurs du web

Sources&nbsp;: https://www.eff.org/fr/deeplinks/2021/03/googles-floc-terrible-idea &amp; https://plausible.io/blog/google-floc&nbsp; Google mène la charge pour remplacer les cookies tiers au profit d’une nouvelle série de technologies permettant de proposer un meilleur ciblage tout en préservant la vie privée des utilisateurs. Parmi elles, se trouve une technologie nommée FLoC, qui renforce à nouveau le pouvoir des GAFAM et renforce le fingerprinting. Découvrons [&hellip;]

Pourquoi Google FLoC est problématique pour la sécurité des utilisateurs du web | Les-Tilleuls.coop

https://api.les-tilleuls.coop/wp-content/uploads/2021/08/433.jpg

Après avoir arpenté <a href="https://les-tilleuls.coop/fr/blog/article/workshop-rest-gregoire-hebert" target="_blank" rel="noopener">les origines du&nbsp;REST</a> et les nouveautés d’<a href="https://les-tilleuls.coop/fr/blog/article/workshop-api-platform-2-6" target="_blank" rel="noopener">API Platform 2.6</a>, nous proposons un nouveau workshop ouvert au public consacré à <a href="https://www.elastic.co/fr/elasticsearch/" target="_blank" rel="noopener">Elasticsearch</a>, le moteur de recherche basé sur Lucene.&nbsp;



<figure class="wp-block-image"><a href="https://masterclass.les-tilleuls.coop/workshops" target="_blank" rel="noopener"><img src="https://api.les-tilleuls.coop/wp-content/uploads/2021/08/430.jpg" alt="es" title="es"/></a></figure>



La semaine prochaine, les&nbsp;15 et 16 avril, <a href="https://twitter.com/nitneuk_y/" target="_blank" rel="noopener">Quentin Barloy</a> sera aux manettes d&rsquo;un&nbsp;atelier axé sur ce serveur de recherche. Nous verrons notamment comment installer, scaler et monitorer Elasticsearch, effectuer des sauvegardes et réindexer les données : en somme, tout ce qu’il faut savoir pour pouvoir l’utiliser de manière maîtrisée en production. Nous apprendrons également à interagir avec l’API afin d’indexer des documents et effectuer des recherches complexes grâce aux requêtes Query DSL, comprendre l’importance des analyzers afin d’obtenir des résultats pertinents.



Contactez-nous dès à présent <a href="mailto:masterclass@les-tilleuls.coop">pour réserver votre place</a>&nbsp;! L&rsquo;accès à ce workshop&nbsp;est limité et son coût peut faire l&rsquo;objet de&nbsp;<a href="https://les-tilleuls.coop/fr/blog/article/covid19-formations" target="_blank" rel="noopener">prises en charges</a>.&nbsp;Même pendant le confinement,&nbsp;<a href="https://masterclass.les-tilleuls.coop/trainings">toutes nos formations</a> restent disponibles en distanciel pour permettre à vos équipes de monter en compétences et d&rsquo;en bénéficier où qu’elles se trouvent. Vous ne trouvez pas la session adaptée à vos problématiques ? <a href="https://masterclass.les-tilleuls.coop/contact" target="_blank" rel="noopener">Contactez-nous</a> et un de nos formateurs étudiera les possibilités d&rsquo;une formation sur mesure.

Avec le workshop de Quentin Barloy, ElasticSearch n'aura plus de secrets pour vous

Après avoir arpenté les origines du&nbsp;REST et les nouveautés d’API Platform 2.6, nous proposons un nouveau workshop ouvert au public consacré à Elasticsearch, le moteur de recherche basé sur Lucene.&nbsp; La semaine prochaine, les&nbsp;15 et 16 avril, Quentin Barloy sera aux manettes d&rsquo;un&nbsp;atelier axé sur ce serveur de recherche. Nous verrons notamment comment installer, scaler [&hellip;]

Avec le workshop de Quentin Barloy, ElasticSearch n'aura plus de secrets pour vous | Les-Tilleuls.coop

https://api.les-tilleuls.coop/wp-content/uploads/2021/08/430.jpg

Avec le workshop de Quentin Barloy, ElasticSearch n&rsquo;aura plus de secrets pour vous

La nouvelle a été annoncée hier soir par <a href="http://twitter.com/dunglas" target="_blank" rel="noopener">Kévin Dunglas</a> lors de notre <a href="https://www.meetup.com/fr-FR/api-platform/events/276670163/" target="_blank" rel="noopener">dernier&nbsp;meetup en ligne</a>&nbsp;: nous avons le plaisir de vous inviter à <a href="https://api-platform.com/con/2021/#" target="_blank" rel="noopener">notre première conférence dédiée&nbsp;au framework API Platform</a> et à son écosystème. Nous vous donnons rendez-vous le vendredi 10 septembre 2021 à Lille et en ligne pour échanger et monter en compétences&nbsp;autour de ce framework aux <a href="https://packagist.org/packages/api-platform/core" target="_blank" rel="noopener">6 millions de paquets téléchargés</a>.

Les premiers speakers seront annoncés début avril mais nous pouvons déjà vous dire&nbsp;que l&rsquo;on discutera d&rsquo;API Platform (forcément !), mais aussi d&rsquo;APIs de manière générale, d&rsquo;e-commerce, d&rsquo;ops et d&rsquo;outils conçus en PHP ou JavaScript.

<a href="https://api-platform.com/con/2021/" target="_blank" rel="noopener"><img id="image" style="width: 100%;" title="api con" src="https://api.les-tilleuls.coop/wp-content/uploads/2021/08/429.jpg" alt="api con"></a>Deux scènes sont au programme : une anglophone (qui sera également retransmise en direct sur internet)&nbsp;et une francophone.&nbsp;La conférence sur place est organisée à <a href="https://www.euratechnologies.com/" target="_blank" rel="noopener">EuraTechnologies</a>, le premier campus accélérateur de startups en France où nous nous sommes installés en 2013 et où nous possédons un plateau.&nbsp;

Cet événement fait également écho aux 10 ans de notre coopérative : à l&rsquo;issue de cette journée de conférences, nous convions l&rsquo;ensemble des participantes et participants à une soirée d&rsquo;anniversaire aux côtés de notre communauté et nos partenaires. Bien évidemment, nous organisons une partie de cet&nbsp;événement en présentiel (en nombre limité) tout en suivant de près la situation sanitaire : si en septembre nous constatons que les conditions pour nous réunir ne sont pas optimales, alors nous reporterons l&rsquo;événement à une date ultérieure (et ne basculerons pas en ligne).

<a href="https://api-platform.com/con/2021/#pricing" target="_blank" rel="noopener">Inscrivez-vous</a>&nbsp;tant que le tarif early bird est disponible et&nbsp;<a href="https://twitter.com/coopTilleuls" target="_blank" rel="noopener">abonnez-vous à nos réseaux</a> afin de ne pas manquer les prochaines actualités de cet événement ! Nous sommes également à <a href="mailto:events@les-tilleuls.coop">la recherche de partenaires</a> afin de couvrir les frais d&rsquo;organisation (les&nbsp;éventuels bénéfices&nbsp;serviront uniquement à financer le développement <a href="https://api-platform.com/" target="_blank" rel="noopener">du&nbsp;projet API Platform</a>). Contactez-nous à <a href="mailto:events@les-tilleuls.coop?subject=Partenariat%20API%20Platform%20conference">cette adresse e-mail</a> pour recevoir le dossier.

Nous trépignons d&rsquo;impatience à l&rsquo;idée de vous accueillir lors de cet événement, que ce soit sur place comme en ligne ! Merci d&rsquo;avance pour votre soutien, et à très vite !

Première conférence dédiée à API Platform : rendez-vous le 10 septembre à Lille et en ligne

La nouvelle a été annoncée hier soir par Kévin Dunglas lors de notre dernier&nbsp;meetup en ligne&nbsp;: nous avons le plaisir de vous inviter à notre première conférence dédiée&nbsp;au framework API Platform et à son écosystème. Nous vous donnons rendez-vous le vendredi 10 septembre 2021 à Lille et en ligne pour échanger et monter en compétences&nbsp;autour [&hellip;]

Première conférence dédiée à API Platform : rendez-vous le 10 septembre à Lille et en ligne | Les-Tilleuls.coop

https://api.les-tilleuls.coop/wp-content/uploads/2021/08/431.jpg

De la th&eacute;orie &agrave; la pratique ?


&lt;?php
// split into N shares here 3 for example it mean I need a polynomial function of degree 2. (k-1)
$k = $minShares;
$m = $modulo;  // including our secret, we need 2 more numbers at random to plot our function.
// they are coefficient, no real needs to be high.
$numbers = array_map(static function () {
    return (string)random_int(0, 99);
}, array_fill(0, $k - 1, null));
$polynomial = new Polynomial([...$numbers, $secret], $m);// let generate N points to dispatch
$points = array_map(static function () use ($polynomial) {
    $rand = random_int(0, 100);
    return ["$rand", $polynomial("$rand"), $polynomial->quotient];
}, array_fill(0, $maxShares, null));
return $points;

&lt;?php
$lp = LagrangePolynomial::interpolate($points, $m);
$secret = $lp('0', false);

&lt;?php
$secretKey = SodiumHelper::generateKey(); // this will be stored in shares.
$nonce = SodiumHelper::generateNonce(); // this could be part of your app configuration$secret = 'Sensitive information';
var_dump("secret : $secret");// symmetric key encryption with padded message to hide it's length. This does not matter, it's for show !
$encryptedMessage = SodiumHelper::encrypt($secret, $secretKey, $nonce);
$number = gmp_import($encryptedMessage);
$valueToPlot = gmp_strval($number);

Que pouvons-nous faire de cette technique ?


Ssss&#8230; Ce n&rsquo;est pas le son d&rsquo;un serpent mais les initiales de <a href="https://fr.wikipedia.org/wiki/Partage_de_cl%C3%A9_secr%C3%A8te_de_Shamir" target="_blank" rel="noopener">Shamir&rsquo;s Secret Sharing Scheme</a>.&nbsp;Avant d&rsquo;expliquer ce dont il s&rsquo;agit, laissez-moi contextualiser.



Il y a un peu plus d&rsquo;un an j&rsquo;ai travaillé avec <a href="http://twitter.com/dunglas" target="_blank" rel="noopener">Kévin Dunglas</a> sur <a href="https://api-platform.com/" target="_blank" rel="noopener">API Platform</a>&nbsp;et à ce moment-là, il y avait des modifications à effectuer sur les conteneurs de la distribution. <a href="http://Mercure.rocks" target="_blank" rel="noopener">Mercure.rocks</a> venait d&rsquo;arriver et la restructuration nécessitait d&rsquo;avoir du HTTP/2 + SSL pour bénéficier des capacités de HTTP/2 PUSH. Seulement, il y avait des problématiques de génération de certificats. Je savais comment générer les certificats mais je suis devenu curieux. J&rsquo;ai voulu comprendre ce qu&rsquo;il se passe vraiment&nbsp;lorsqu&rsquo;un certificat est émis. Quelle est la mécanique derrière HTTPS ? Comment sont utilisés les certificats, et comment sont sécurisés les échanges ?



J&rsquo;ai donc fait mes devoirs, et autant que d&rsquo;autres en profitent. J&rsquo;ai écrit une conférence dédiée à RSA, ainsi qu&rsquo;une suite d&rsquo;articles disponible en 3 parties :&nbsp;<a href="https://knot.gheb.dev/blog/rsa-tls-aes-wtf-part-1/" target="_blank" rel="noopener">partie 1</a>, <a href="https://knot.gheb.dev/blog/rsa-tls-aes-wtf-part-2/ &nbsp;" target="_blank" rel="noopener">partie 2</a> et <a href="https://knot.gheb.dev/blog/rsa-tls-aes-wtf-part-3/ &nbsp;" target="_blank" rel="noopener">partie 3</a>.&nbsp;Cette suite d&rsquo;articles a ensuite donné lieu à une conférence (pour ceux qui n&rsquo;ont pas le courage de lire)&nbsp; :&nbsp;



<iframe loading="lazy" src="https://www.youtube.com/embed/GTy3aelf7AI" allowfullscreen="allowfullscreen" width="560" height="315" frameborder="0"></iframe>



Dans un autre registre d&rsquo;opportunité, j&rsquo;ai eu la chance de participer à un <a href="https://les-tilleuls.coop/fr/blog/article/hackathon-eu-fossa-2019" target="_blank" rel="noopener">hackathon Symfony / API Platform&nbsp;organisé par la Commission Européenne</a>&nbsp;durant&nbsp;lequel un nouveau composant Symfony est né. Composant&#8230; une nouvelle fonctionnalité plutôt, parce que techniquement ce n&rsquo;est pas un composant indépendant. Mais je vais continuer de dire composant quand même, c&rsquo;est&nbsp;le composant «&nbsp;secrets&nbsp;». &nbsp;



Il permet de chiffrer vos secrets (comme un mot de passe de base de données), et il est d&rsquo;ailleurs très pratique lorsque vous manquez de confiance envers votre hébergeur, ou tout simplement parce que vous êtes soucieux de la sécurité et qu&rsquo;il n&rsquo;est pas possible pour vous d&rsquo;utiliser de variable d&rsquo;environnement sur votre serveur. &nbsp;



Il utilise une librairie C (<a href="https://libsodium.gitbook.io/doc/" target="_blank" rel="noopener">libsodium</a>) à travers une API dédiée en PHP et il se trouve que les méthodes de chiffrements utilisées par libsodium&nbsp;pour le composant «&nbsp;secrets&nbsp;»&nbsp;sont les mêmes algorithmes que ceux utilisées dans RSA !&nbsp;J&rsquo;avais donc la possibilité de promouvoir cette fonctionnalité tout en expliquant les mécaniques sous-jacentes. Chose qui m&rsquo;a été offerte lors du <a href="https://www.youtube.com/watch?v=w3PcUa9qzME" target="_blank" rel="noopener">Symfony World 2020</a>&nbsp;où j&rsquo;ai pu confronter mes connaissances, lors de différents échanges avec d&rsquo;autres contributeurs de Symfony.



L&rsquo;un d&rsquo;eux (coucou Jérémy !) m&rsquo;a alors fait la réflexion suivante : « avant il y avait des secrets dans un fichier connu que du serveur. Maintenant, il y a des secrets chiffrés dans un fichier connu de tous, mais déchiffrable uniquement avec la clé connue que du serveur. Dans les 2 cas, que se passe-t-il si je n&rsquo;ai pas confiance en mes fournisseurs ? Que ce soit un serveur classique, ou des conteneurs dans le cloud, il faut que la clé soit déposée quelque part. Je n&rsquo;ai pas de solution parfaite encore pour protéger cette clé&#8230; ». C&rsquo;est alors que je me suis souvenu avoir vu <a href="https://www.youtube.com/watch?v=K54ildEW9-Q" target="_blank" rel="noopener">une vidéo d&rsquo;un mathématicien</a> : Matt Parker. Dans cette vidéo il explique un principe mathématique permettant de diviser un secret en une multitude de morceaux, trois, cinq, douze. Mais n&rsquo;ayant besoin que d&rsquo;un certain minimum de morceaux pour reconstruire l&rsquo;intégralité du secret.



Je me suis demandé si ça ne pouvait pas être une solution. Et il se trouve que oui. Par ailleurs, l&rsquo;excellent VaultProject.io de HashiCorp utilise <a href="https://www.vaultproject.io/docs/internals/security#internal-threat-overview" target="_blank" rel="noopener">cette même technique pour protéger les clés</a>. Je me suis dit que ce serait top si ça existait en PHP ! Et puis j&rsquo;ai oublié de chercher dans Google.&nbsp;Je suis allé voir des revues mathématiques et&nbsp;j&rsquo;ai rien compris. Je suis allé lire des pages Wikipédia et&nbsp;j&rsquo;ai&nbsp;rien compris. J’ai ouvert des pages, et autres articles de blogs vulgarisateurs, j&rsquo;ai compris un peu. J&rsquo;ai revu la vidéo de Matt Parker, je l&rsquo;ai un peu plus comprise, puis j&rsquo;ai réouvert Wikipédia que j&rsquo;ai compris et enfin, j&rsquo;ai réouvert les revues mathématiques et je n’ai toujours pas compris. Alors pourquoi ça marche ?



<h3>jingle&nbsp;Tuto rapide !</h3>



Prenons mon mot de passe de session d&rsquo;ordinateur : «&nbsp;peanuts!&nbsp;»&nbsp; Je vais envoyer des pièces incomplètes à des tiers :



<ul><li>p _ _ nu _ _ _&nbsp;</li><li>_&nbsp;e _&nbsp; _&nbsp;_ t _ !&nbsp;</li><li>p _ a _ _ _ s _</li></ul>



En combinant les 3 morceaux, je peux reconstituer la valeur d&rsquo;origine mais avec seulement 2, il va me manquer des éléments.&nbsp;



Disons que je crée plus de variations, je peux alors imaginer qu&rsquo;il y ait un certain nombre de lettres communes ainsi qu&rsquo;un certain nombre de lettres absentes dans chaque variation. Cette valeur que j&rsquo;aurais décidée au préalable me permet de contrôler le nombre de variations minimum dont j&rsquo;ai besoin pour retrouver la valeur d&rsquo;origine. Moins j&rsquo;ai d&rsquo;intersections entre les variations, plus j&rsquo;ai besoin de morceaux, pour recomposer la valeur. Je peux ainsi donner mon mot de passe, sans qu&rsquo;il ne soit mis en danger, à moins que les tiers ne décident de se concerter pour le décoder !



<h3>jingle&nbsp;Tuto costaud</h3>



<h4>Destructuring the secret</h4>



Sur le principe énoncé précédemment voilà comment les mathématiques sont appliquées. Nous allons transformer notre chaîne de caractères à subdiviser, en valeur numérique. Pour l&rsquo;exemple, disons que mon mot de passe nous donne la valeur 42. Nous allons créer une fonction, dont la première entrée est notre valeur numérique :&nbsp;&nbsp;<img id="image" title="f(x)=42" src="https://api.les-tilleuls.coop/wp-content/uploads/2021/08/424.png" alt="f(x)=42">.



Sous cette forme, ça ne fait pas grand-chose. Nous allons y ajouter des valeurs. Une de moins que de « morceaux/parts » désirés pour pouvoir plus tard reconstruire la valeur. Si je m&rsquo;impose de ne pouvoir reconstituer le secret qu&rsquo;avec au moins k = 3 « morceaux », la fonction devient alors : <img id="image" title="f(x)=a0+a1x+a2x^2+a3x^3" src="https://api.les-tilleuls.coop/wp-content/uploads/2021/08/423.png" alt="f(x)=a0+a1x+a2x^2+a3x^3">.



De manière générale, la formule est :&nbsp;<img id="image" title="f(x)=a0+a1x+a2x^2+a3x^3+...+ak-1x^k-1" src="https://api.les-tilleuls.coop/wp-content/uploads/2021/08/425.png" alt="f(x)=a0+a1x+a2x^2+a3x^3+...+ak-1x^k-1"> (a0 étant notre secret). Ce type de fonction porte un nom : polynomiale. Il faut sélectionner pour chaque « degré » (le nom des valeurs) un nombre entier positif sélectionné au hasard. Par exemple, prenons des valeurs simples comme 3 puis 5 : <img id="image" title="f(x)=42+3x+5x^2" src="https://api.les-tilleuls.coop/wp-content/uploads/2021/08/426.png" alt="f(x)=42+3x+5x^2">



Que se passe-t-il si je passe 0 à notre fonction ? Vous l&rsquo;avez tout de suite compris, les multiplications et les montées en puissance vont résulter à 0. Nous obtiendrons la seule valeur importante, notre secret. C&rsquo;est l&rsquo;opération que l&rsquo;on souhaite effectuer à la fin, avoir été capable de reconstruire cette formule, pour pouvoir retrouver notre secret. Sur un graphe orthonormé, la formule résultera en une courbe avec laquelle lorsque l’on donne x = 0, y nous donnera la valeur du secret.



Partant de ce principe, nous allons donc aller chercher au moins 3 points sur cette courbe. Prenons 4 valeurs qui seront les x. 18, 27, 31, 35. La formule nous donne les y suivants : 1716, 3768, 4940, 6272. Soit les points (18, 1716), (27, 3768), (31, 4940) et (35, 6272).



Et maintenant ? &nbsp;Et bien, il est temps d&rsquo;envoyer un point à chaque service/serveur/client de confiance ainsi que la valeur k, nécessaire pour la reconstruction.



<h4>Restructuring the secret</h4>



Nous possédons un point. C&rsquo;est bien, mais ça ne nous indique rien. &nbsp;



Mais si nous connaissons le nombre d&rsquo;entrées nécessaire pour la formule, alors en possédant autant de points dans l&rsquo;espace il est possible de « deviner » la formule. Pour le faire, il faut utiliser l&rsquo;interpolation polynomiale de Lagrange. Je vous passe la formule, mais si vous êtes curieux, <a href="https://en.wikipedia.org/wiki/Lagrange_polynomial" target="_blank" rel="noopener">elle est ici</a>.&nbsp;Une fois reconstruite, vous aurez compris qu&rsquo;en donnant la valeur 0 à cette formule, nous devrions retomber sur notre secret !



Il reste un détail crucial à couvrir. Sans connaitre k, il n&rsquo;est pas vraiment possible de reconstruire la formule, mais, si un attaquant arrive à se procurer un nombre suffisamment grand de points générés. Alors il réduit la marge d&rsquo;erreur et peut lui aussi finir par deviner la courbe. S’il obtient k, alors des méthodes mathématiques lui permettent de déduire certaines valeurs, les unes après les autres.



Ceci est possible parce que nos points représentent exactement des valeurs supérieures à notre secret.



Pour contourner ce problème, il faudra ajouter une opération modulo à notre formule pour brouiller les pistes. Sans la valeur des points, ni de k, ni du modulo, impossible de reconstruire la formule ni de deviner les emplacements réels. Pour bien faire la valeur du modulo sera un nombre premier bien entendu.



<h3>De la théorie à la pratique ?</h3>



Let&rsquo;s make baby steps with PHP. Créez&nbsp;le nécessaire pour constituer la formule.





<a href="https://github.com/GregoireHebert/ShamirSecretSharingScheme/blob/f43f6c8d3abd76c397199c51aa6117167017bcdd/src/Polynomial/Polynomial.php," target="_blank" rel="noopener">L&rsquo;objet Polynomial</a>&nbsp;est issu du travail de Mark Rogoyski que j&rsquo;ai revu pour mes besoins. C&rsquo;est lui qui porte la responsabilité de créer la fonction et de l&rsquo;exécuter. Avec ces points, il faut à présent être capable de reconstituer la fonction.





L&rsquo;objet LagrangePolynomial est lui aussi issu du travail de Mark Rogoyski, également revu pour mes besoins.&nbsp; Premier essai après quelques heures, j&rsquo;obtiens les points, et j&rsquo;obtiens de nouveau le secret !



Proof Of Concept réussi&nbsp;et du premier coup ! Attendez… c&rsquo;est louche. J&rsquo;ai tenté les mêmes valeurs que celles de mon exemple (42). Dans un cas réel, j&rsquo;aurais plutôt une clé probablement générée par LibSodium.&nbsp;





et j&rsquo;obtiens plutôt des valeurs comme&nbsp;1472502186037957747441234705645302953943147992477563238054054428338355254101.&nbsp;Un peu plus important que 42. Voyons si les maths tiennent la route. NON&nbsp; Évidemment, le résultat explose littéralement. Après quelques coups de débogage, je constate que la génération des points est valide. C&rsquo;est la suite qui se corse. En effet, l&rsquo;interpolation polynomiale de Lagrange joue avec des additions (ça va), des multiplications (ça va), des divisions (oula !) sur de grandes valeurs&#8230; Et si vous n&rsquo;avez pas encore vu <a href="http://https://www.youtube.com/watch?v=0iEKP4tsWe0" target="_blank" rel="noopener">l&rsquo;excellente conférence de Benoit Jacquemont sur le sujet</a> : allez-y, il y a de grandes chances que je sois dans cette situation !



Je ne me décourage pas j&rsquo;essaie de trouver les raisons des erreurs. Même s’il y a des approximations, je dois pouvoir m&rsquo;en sortir, je ne suis pas le premier à faire des calculs sur de grands nombres. Et ce n&rsquo;est pas comme si je manipulais des flottants dès le départ ! Les approximations ne devraient pas être un problème dans ma situation.



Je remplace tous les calculs mathématiques par gmp car il semble tout indiqué, jusqu&rsquo;au moment où j&rsquo;arrive sur les opérations modulo. J&rsquo;ai besoin de récupérer le quotient de l&rsquo;opération, or rien ne le permet sans réeffectuer les calculs derrière. Qu&rsquo;à cela ne tienne, allons-y. Manque de bol, j&rsquo;ai de nouveau des soucis d&rsquo;approximation.



Je remplace tous les calculs mathématiques par <a href="https://www.php.net/manual/fr/book.bc.php" target="_blank" rel="noopener">bcmath</a>, l&rsquo;autre solution qui semble aussi adaptée. Bon là, il y a un peu plus de travail, puisque bcmath manipule des strings. Je vais devoir modifier un peu plus que juste les opérations. À cœur vaillant, rien d&rsquo;impossible, ça prendra juste un peu de temps. Rebelote. Problèmes d&rsquo;approximation&#8230; C&rsquo;est vraiment, vraiment pas cool PHP pour les maths.&nbsp;Je m&rsquo;y prends peut-être mal, mais je suis alors pris d&rsquo;une frénésie, et me lance même dans la ré-écriture du code en R ! Mais il est tard&#8230; je mets en pause le dev.



Je reviens sur mes pas. Clairement en PHP, le plus à même de faire le job, c&rsquo;est bcmath. Et je suis sûr que d&rsquo;autres ont rencontré le problème, alors je décide d&rsquo;aller à la boîte à outils, pour comprendre où l&rsquo;approximation démarre. En PHP, l’approximation vient des Float et Double. Mais elle peut l’être moins grâce à l&rsquo;écriture scientifique ! Et tant que je manipule des doubles ET l&rsquo;écriture scientifique, sur le papier, je ne dois pas perdre en précision. Mais, Ô grand Mais, lorsque cette écriture scientifique est utilisée, particulièrement lors de l&rsquo;usage de modulo, la chaîne numérique obtenue, est imprécise ! Caster en float, utiliser number_format&nbsp;ou utiliser sprintf&nbsp;d&rsquo;un double en écriture scientifique, n&rsquo;est pas précis sur des valeurs si grandes. Et croyez-moi j&rsquo;ai écumé les discussions sur le sujet.



Il faut que je trouve une parade à l&rsquo;écriture scientifique. Après des heures de recherche, <a href="https://github.com/krowinski/bcmath-extended" target="_blank" rel="noopener">je trouve une librairie</a>&nbsp;qui apporte sa méthode de conversion de l&rsquo;écriture scientifique ainsi que des ajustements des méthodes de bcmath. Exactement ce dont j&rsquo;avais besoin (ouf pas besoin de l&rsquo;écrire), si tant est qu&rsquo;elle fonctionne et corrige mes problèmes d&rsquo;approximation. Je l&rsquo;importe et remplace&#8230; Je n&rsquo;ose pas regarder la sortie du terminal&#8230; &nbsp;



Ça a marché ! Et me voici avec un prototype qui fonctionne !&nbsp;



<a href="http://https://github.com/GregoireHebert/ShamirSecretSharingScheme" target="_blank" rel="noopener">Le dépôt est ici</a>,&nbsp; je partage le code aux collègues, c&rsquo;est un réfllexe, j&rsquo;ai des encouragements, c&rsquo;est cool. On me demande si ça n&rsquo;existe pas déjà, c&rsquo;est aussi un réflexe. Je réponds que non, je ne me serais pas cassé la tête sinon&#8230; c&rsquo;est pas cool. &nbsp;



Pas cool, parce que plus tard, je réalise que je n&rsquo;ai jamais tapé les mots clés «&nbsp;shamir, secret, sharing, php&nbsp;» dans un moteur de recherche&#8230; J&rsquo;ai foncé tête baissée. Oh je m&rsquo;en veux. <a href="https://github.com/teqneers/shamir" target="_blank" rel="noopener">Parce qu&rsquo;il y a ça</a>&nbsp;et ça m&rsquo;a pas l&rsquo;air mal du tout&nbsp; : ce que j&rsquo;aime c&rsquo;est que le soin a été pris de couvrir les aspects critiques de la sécurité mathématique, avec l&rsquo;application d&rsquo;un modulo sur les résultats pour masquer la longueur du secret. C&rsquo;est top. En prime, la librairie hash le résultat des morceaux pour n&rsquo;avoir qu&rsquo;une chaîne simple à stocker, tandis que pour l&rsquo;instant mon code renvoie un tableau, mais ce ne serait pas très difficile à implémenter. Enfin, il y a un détail qui me fait un peu peur parce que je manque de connaissances mathématiques, c&rsquo;est que sa librairie impose le choix du nombre premier utilisé dans l&rsquo;exécution du modulo. L&rsquo;intérêt de ce modulo est de brouiller les pistes, mais si en connaissant la librairie, on connait la valeur du modulo, je pense que cela perd complètement de son usage (mais je peux me tromper), tandis qu&rsquo;au contraire, dans ma librairie, je demande à l&rsquo;utilisateur de donner cette valeur, pour qu&rsquo;elle puisse être différente d&rsquo;une installation à une autre. Un peu plus de contraintes, pour un peu plus de sécurité. C&rsquo;est à pondérer, et surtout à confirmer par quelqu&rsquo;un de plus expert que moi.



<h3>Que pouvons-nous faire de cette technique ?</h3>



<ul><li>Le plus évident puisque c&rsquo;est pour ça que j&rsquo;ai travaillé dessus : diviser et partager des clés privées. Par exemple, la clé utilisée&nbsp;pour les secrets de Symfony, ou encore la clé privée pour les token JWT (qui en passant <a href="https://blog.silentsignal.eu/2021/02/08/abusing-jwt-public-keys-without-the-public-key/" target="_blank" rel="noopener">mérite une plus grande attention</a>).</li><li><a href="https://www.researchgate.net/publication/325862750_Authentication_as_a_service_Shamir_Secret_Sharing_with_byzantine_components" target="_blank" rel="noopener">L&rsquo;Authentication As Service</a>.</li><li>L&rsquo;amélioration de la sécurité d&rsquo;ouverture de salle <a href="https://www.researchgate.net/publication/342343321_Increasing_the_Security_of_RFID-based_Classroom_Attendance_System_with_Shamir_Secret_Share" target="_blank" rel="noopener">par RFID</a>.</li></ul>



Laissez libre cours à votre imagination, je suis sûr que vous trouverez d&rsquo;autres usages !



C&rsquo;est un concept qui fonctionne, mais qui est encore un concept ici, je manque de validation de la part de chercheurs en sécurité. Mais je serai&nbsp;ravi d&rsquo;en discuter ! Merci de m&rsquo;avoir lu et à bientôt !

Shamir's Secret Sharing Scheme en PHP

Ssss&#8230; Ce n&rsquo;est pas le son d&rsquo;un serpent mais les initiales de Shamir&rsquo;s Secret Sharing Scheme.&nbsp;Avant d&rsquo;expliquer ce dont il s&rsquo;agit, laissez-moi contextualiser. Il y a un peu plus d&rsquo;un an j&rsquo;ai travaillé avec Kévin Dunglas sur API Platform&nbsp;et à ce moment-là, il y avait des modifications à effectuer sur les conteneurs de la distribution. [&hellip;]

Shamir's Secret Sharing Scheme en PHP | Les-Tilleuls.coop

https://api.les-tilleuls.coop/wp-content/uploads/2021/08/427.jpg

Shamir&rsquo;s Secret Sharing Scheme en PHP

https://secure.gravatar.com/avatar/b473bd9d058c922e08d57f39a4a861db?s=96&d=mm&r=g

Grégoire Hébert

git clone https://github.com/dunglas/go.git dunglas-go
cd dunglas-go
git checkout feat/http-103-status-code

export GOROOT=$(pwd)
cd src/
go mod edit -replace="golang.org/x/net=github.com/dunglas/net@2f6bd1bb0ddb1202d12f52cd0bd643d4eeedf1ce"
go mod vendor
unset GOROOT

go get golang.org/x/tools/cmd/bundle
cd net/http/
$(go env GOPATH)/bin/bundle -o=h2_bundle.go -dst net/http -prefix=http2 -tags='!nethttpomithttp2' golang.org/x/net/http2

// main.go
package mainimport (
    "io"
    "log"
    "net/http"
)func main() {
    helloHandler := func(w http.ResponseWriter, req *http.Request) {
        w.Header().Add("Link", "; rel=preload; as=style")
        w.Header().Add("Link", "; rel=preload; as=script")
        w.WriteHeader(103)        // do your heavy tasks such as DB or remote APIs calls here        
        w.WriteHeader(200)        
        io.WriteString(w, "n[... le reste de la réponse est volontairement retiré de cet exemple ...]")
    }    
    http.HandleFunc("/hello", helloHandler)
    log.Fatal(http.ListenAndServeTLS(":443", "cert.pem", "key.pem", nil))
}

/path/to/dunglas-go/bin/go build main.go
./main main

[snip]
&lt; HTTP/2 103
&lt; link: ; rel=preload; as=style
&lt; link: ; rel=preload; as=script
&lt; HTTP/2 200
&lt; link: ; rel=preload; as=style
&lt; link: ; rel=preload; as=script
&lt; content-type: text/html; charset=utf-8
&lt; content-length: 79
&lt; date: Sat, 13 Feb 2021 09:47:27 GMT
&lt;[snip]

package mainimport (
    "io"
    "log"
    "net/http"
    "runtime"
    "strings"
)func main() {
    helloHandler := func(w http.ResponseWriter, req *http.Request) {
        w.Header().Add("Link", "; rel=preload; as=style")
        w.Header().Add("Link", "; rel=preload; as=script")        
        if strings.HasPrefix(runtime.Version(), "devel") {
            // skip if compiled with a stable version of Go
            w.WriteHeader(103)
        }        
        w.WriteHeader(200)        
        io.WriteString(w, "n[... le reste de la réponse est volontairement retiré de cet exemple ...]")
    }    http.HandleFunc("/hello", helloHandler)    
    log.Fatal(http.ListenAndServeTLS(":443", "cert.pem", "key.pem", nil))
}

<a href="https://dunglas.fr/2021/02/using-the-103-early-hints-status-code-in-go-applications/" target="_blank" rel="noopener">Read the original version of this post</a>.



103 est un nouveau code de statut HTTP expérimental défini dans <a href="https://www.rfc-editor.org/rfc/rfc8297.html" target="_blank" rel="noopener">la RFC 8297.</a> Il s&rsquo;agit d&rsquo;un statut informationnel qui peut être envoyé par un serveur avant la réponse HTTP principale. Utilisé en conjonction avec <a href="https://www.rfc-editor.org/rfc/rfc8288.html" target="_blank" rel="noopener">l&rsquo;en-tête HTTP Link</a> et <a href="https://www.w3.org/TR/preload/" target="_blank" rel="noopener">la relation preload</a>, 103 donne au client la possibilité de récupérer des ressources (assets, images, documents liés à l’API&#8230;) liées à celles explicitement demandées, le plus tôt possible, alors que le serveur prépare la réponse principale. Early Hints ressemble à cela :



<pre class="wp-block-preformatted">HTTP/1.1 103 Early Hints
Link: ; rel=preload; as=style
Link: ; rel=preload; as=scriptHTTP/1.1 200 OK
Date: Fri, 26 May 2017 10:02:11 GMT
Content-Length: 1234
Content-Type: text/html; charset=utf-8
Link: ; rel=preload; as=style
Link: ; rel=preload; as=script[… le reste de la réponse est volontairement retiré de cet exemple …]</pre>



<h3>Early Hints en quelques mots</h3>



Le code de statut 103 Early Hints pourrait être une bonne alternative au <a href="https://dunglas.fr/2019/11/vulcain-http-2-server-push%E2%80%A8-and-the-rise-of-client-driven-rest-apis/" target="_blank" rel="noopener">Server Push d’HTTP/2</a>, qui sera supprimé de Chrome dans un futur proche et <a href="https://github.com/httpwg/http2-spec/issues/786#issuecomment-776291594" target="_blank" rel="noopener">déconseillé</a> dans la spécification d’HTTP/2. Il ajoute 1 <a href="https://developer.mozilla.org/en-US/docs/Glossary/Round_Trip_Time_(RTT)" target="_blank" rel="noopener">Round Trip Time (RTT)</a>&nbsp;par rapport au Server Push, mais, parmi d&rsquo;autres avantages, il permet une meilleure mise en cache et est (théoriquement) plus facile à implémenter. Chrome et Fastly <a href="https://chromium.googlesource.com/chromium/src/+/master/docs/early-hints.md" target="_blank" rel="noopener">mènent une expérience</a> pour mesurer l&rsquo;avantage potentiel de ce nouveau code de statut. Mais pour que cette expérience soit couronnée de succès, nous avons besoin de serveurs compatibles&#8230; et les serveurs attendent des navigateurs compatibles avant de mettre en œuvre ce nouveau code de statut. Nous sommes dans un problème typique de « l&rsquo;œuf ou la poule ».&nbsp;



<h3>Go et les Early Hints</h3>



Comme vous le savez peut-être, chez Les-Tilleuls.coop, nous sommes attachés au sujet du préchargement des ressources appliqué aux APIs web. Nous sommes à l’origine du <a href="https://vulcain.rocks/" target="_blank" rel="noopener">protocole Vulcain</a>, qui est une alternative à (certaines fonctionnalités de) GraphQL. Il permet de concevoir des APIs rapides et idiomatiques, orientées client, en suivant strictement le style architectural REST. Vulcain <a href="https://github.com/dunglas/vulcain/blob/main/spec/vulcain.md" target="_blank" rel="noopener">supporte Early Hints depuis le départ</a>, et a été conçu en tenant compte de la compatibilité avec ce code de statut. Nous publierons bientôt une nouvelle révision de Vulcain prenant en compte le déclin du Server Push, et <a href="https://event.afup.org/afup-day-2021/afup-day-2021-lille/programme/#3687" target="_blank" rel="noopener">Kévin Dunglas présentera en détails ce que cela changera pour le protocole lors de l&rsquo;AFUP Day Lille 2021</a>.



Cependant, le serveur de passerelle Vulcain (l&rsquo;implémentation de référence), ne supporte pas encore le nouveau code de statut. Les serveurs utilisant ce composant ne peuvent donc pas participer à l&rsquo;expérience.



Comme le hub <a href="https://mercure.rocks/" target="_blank" rel="noopener">Mercure.rocks</a>, le serveur de passerelle Vulcain est maintenant disponible en tant que module du <a href="https://caddyserver.com/" target="_blank" rel="noopener">serveur web Caddy</a>. Cela a été rendu possible parce que Caddy et la bibliothèque qui implémente Vulcain sont tous les deux écrits en Go. Malheureusement, la bibliothèque standard de Go ne supporte pas encore le code de statut 103. Cela empêche d&rsquo;utiliser Early Hints avec Caddy et Vulcain.



Afin d’avancer sur le sujet, nous avons soumis au projet Go des patchs mettant en œuvre la RFC <a href="https://github.com/golang/go/pull/42597" target="_blank" rel="noopener">pour HTTP/1.1</a> et <a href="https://github.com/golang/net/pull/87" target="_blank" rel="noopener">pour HTTP/2</a>. Ils ne sont pas encore mergés, mais comme <a href="https://blog.golang.org/go1.16" target="_blank" rel="noopener">la version 1.16 de Go a été publiée il y a quelques jours</a>, cela pourrait bientôt atterrir dans la branche de développement. En attendant, il est déjà possible d&rsquo;utiliser cette fonctionnalité dans vos propres projets Go, et c&rsquo;est ce que nous verrons dans la suite de cet article !



La chaîne d&rsquo;outils Go (en particulier le compilateur gc) a une caractéristique intéressante : <a href="https://golang.org/doc/faq#Why_is_my_trivial_program_such_a_large_binary" target="_blank" rel="noopener">elle crée des binaires liés statiquement par défaut</a>. Cela signifie qu&rsquo;une fois compilés avec une version de développement de Go supportant la nouvelle fonctionnalité, vos binaires autonomes peuvent être déployés sans devoir changer quoi que ce soit sur vos serveurs.



Assurez-vous d&rsquo;abord que <a href="https://golang.org/doc/install" target="_blank" rel="noopener">la version stable de Go est installée</a>. Comme la chaîne d&rsquo;outils de Go elle-même est écrite en Go, nous avons besoin de Go pour compiler Go. C&rsquo;est ce qu&rsquo;on appelle <a href="https://docs.google.com/document/d/1OaatvGhEAq7VseQ9kkavxKNAfepWy2yhPUBs96FGV28/edit#!" target="_blank" rel="noopener">le processus de bootstrapping</a> (encore une histoire « d’œuf ou la poule »).



Ensuite, clonez notre fork de Go et allez sur la branche contenant les changements requis pour HTTP/1.1 :





Cette branche contient le patch pour HTTP/1.1 mais pas pour HTTP/2. L&rsquo;implémentation HTTP/2 de Go est stockée dans un module séparé : x/net/http2. Avant de créer notre version personnalisée de Go, nous devons récupérer la version corrigée de x/net/http2 et la regrouper dans la bibliothèque standard. Commencez par remplacer le paquet x/net par notre fork, et mettez à jour <a href="https://golang.org/ref/mod#vendoring" target="_blank" rel="noopener">les dépendances vendored</a> :





Ensuite, installez&nbsp;la commande bundle, et utilisez-la pour regrouper le module net/http :&nbsp;





Le fichier h2_bundle.go a été remplacé par un bundle contenant notre patch.



Enfin, retournez dans le répertoire src/ et construisez la version Go adaptée au code de statut 103 :&nbsp;





Notre compilateur Go “amélioré” est prêt !



<h3>Exemple de programme&nbsp;</h3>



La mise en œuvre de l&rsquo;exemple fourni dans la RFC est simple :





Pour générer un certificat TLS approuvé localement&nbsp;(nécessaire pour utiliser HTTP/2), nous recommandons <a href="https://github.com/FiloSottile/mkcert" target="_blank" rel="noopener">la commande mkcert</a> :&nbsp;



<pre class="wp-block-preformatted">mkcert -cert-file ./cert.pem -key-file ./key.pem localhost</pre>



Utilisez le build personnalisé de Go que nous avons créé pour compiler le programme, et lancez-le :&nbsp;





Vous pouvez aussi exécuter go run main.go pour compiler et démarrer le programme avec une seule commande. Utilisez curl pour vérifier s&rsquo;il fonctionne correctement.&nbsp;



Avec HTTP/1.1 :



<pre class="wp-block-preformatted">curl -v --http1.1 https://localhost/hello</pre>



et avec HTTP/2 :



<pre class="wp-block-preformatted"> curl -v https://localhost/hello</pre>



Vous devriez voir quelque chose comme ceci :





<h3>Envoi d’Early Hints&nbsp;</h3>



Appeler plusieurs fois http.ResponseWriter.WriteHeader() provoquera une erreur avec l’exécution Go vanilla. Pour pouvoir compiler le même programme avec le compilateur stable et avec celui qui est patché, vous pouvez “envelopper” l&rsquo;appel à http.ResponseWriter.WriteHeader(103) dans une condition :





<h3>103 Early Hints et HTTP/3</h3>



<a href="https://quicwg.org/base-drafts/draft-ietf-quic-http.html" target="_blank" rel="noopener">HTTP/3</a> est la prochaine version du leader des protocoles web. Il devrait prochainement devenir une RFC. <a href="https://caniuse.com/http3" target="_blank" rel="noopener">HTTP/3 est déjà activé par défaut dans Safari et il peut être activé manuellement dans Firefox et Chrome.</a>



Une implémentation expérimentale de HTTP/3 pour Go (qui est utilisée par Caddy et Vulcain) est disponible, mais elle ne prend pas en charge le code de statut 103. Une pull request a été ouverte pour ajouter le support de ce code de statut à <a href="https://github.com/lucas-clemente/quic-go" target="_blank" rel="noopener">quic-go</a>. Pour utiliser le code de statut 103 avec HTTP/3 : <a href="https://github.com/lucas-clemente/quic-go/pull/3047" target="_blank" rel="noopener">essayez ce patch</a>.&nbsp;



Et voilà ! Vous êtes prêt·e à créer des programmes supportant ce nouveau code de statut, et vous pouvez participer à cette expérience pour rendre le web plus rapide et plus vert ! Si vous vous en servez, prévenez-nous <a href="http://twitter.com/cooptilleuls" target="_blank" rel="noopener">sur Twitter</a> ! Le serveur de passerelle Vulcain sera bientôt mis à jour pour supporter le code de statut 103 en utilisant l&rsquo;approche que nous avons vue dans cet article. Testez les patches, et prévenez-nous si vous rencontrez le moindre souci !

Utiliser le code de statut de réponse “103 Early Hints” dans les applications Go

Read the original version of this post. 103 est un nouveau code de statut HTTP expérimental défini dans la RFC 8297. Il s&rsquo;agit d&rsquo;un statut informationnel qui peut être envoyé par un serveur avant la réponse HTTP principale. Utilisé en conjonction avec l&rsquo;en-tête HTTP Link et la relation preload, 103 donne au client la possibilité [&hellip;]

Utiliser le code de statut de réponse “103 Early Hints” dans les applications Go | Les-Tilleuls.coop

https://api.les-tilleuls.coop/wp-content/uploads/2021/08/420.jpg

SIGNATURE_KEY=XAR5vxusewjY9KJ2w8apxVzVq5EPtl

&lt;?php
declare(strict_types=1);

namespace AppController;

use CoopTilleulsUrlSignerBundleUrlSignerUrlSignerInterface;
use SymfonyBundleFrameworkBundleControllerAbstractController;
use SymfonyComponentHttpFoundationJsonResponse;
use SymfonyComponentHttpFoundationResponse;
use SymfonyComponentRoutingAnnotationRoute;

class VideoController extends AbstractController
{
    public function __construct(
        private UrlSignerInterface $urlSigner,
    )
    {
    }

    #[Route('/videos/{id}/signed-url', methods: ['GET'])]
    public function newSignedUrl(string $id): Response
    {
        $this->denyAccessUnlessGranted('ROLE_USER');
        return new JsonResponse(['url' => $this->generateSignedUrl($id)]);
    }

    private function generateSignedUrl(string $id): string
    {
        $url = $this->generateUrl('download_video', ['id' => $id]);
        // Expirera après 10 secondes.
        $expiration = (new DateTime('now'))->add(new DateInterval('PT10S'));
        return $this->urlSigner->sign($url, $expiration);
    }
}

&lt;?php
declare(strict_types=1);

namespace AppController;

use SymfonyBundleFrameworkBundleControllerAbstractController;
use SymfonyComponentHttpFoundationBinaryFileResponse;
use SymfonyComponentHttpFoundationResponse;
use SymfonyComponentRoutingAnnotationRoute;

class VideoController extends AbstractController
{
    #[Route('/videos/{id}/download', name: 'download_video', defaults: ['_signed' => true], methods: ['GET'])]
    public function download(string $id): Response
    {
        // Récupération du fichier.        return new BinaryFileResponse();
    }
}

&lt;?php
declare(strict_types=1);

namespace AppEntity;

use ApiPlatformCoreAnnotationApiResource;
use AppControllerCreateSignedUrlVideoAction;
use AppControllerDownloadVideoAction;

#[ApiResource(
    itemOperations: [
    'get',
    'delete',
    'put',
    'signed_url' => [
        'security' => "is_granted('ROLE_USER')",
        'method' => 'GET',
        'path' => '/videos/{id}/signed-url',
        'controller' => CreateSignedUrlVideoAction::class,
    ],
    'download' => [
        'method' => 'GET',
        'path' => '/videos/{id}/download',
        'controller' => DownloadVideoAction::class,
        'defaults' => ['_signed' => true],
        'formats' => ['binary'],
    ],
],
)]
class Video
{
    // Propriétés, getters, setters
}

Une URL signée est une URL contenant des informations d&rsquo;authentification directement dans sa query string. Elle permet à un utilisateur non authentifié d&rsquo;accéder à des ressources ou à des routes protégées, pour une durée limitée.



Signer une URL peut être très utile dans une application stateless. Il existe deux cas d&rsquo;utilisation principaux&nbsp;:



<ul><li>permettre à un utilisateur externe d&rsquo;accéder à une ressource autrement inaccessible sans être authentifié,</li><li>télécharger un fichier avec le navigateur sans utiliser Ajax (sans un fetch() envoyant les informations d&rsquo;authentification).</li></ul>



Ce dernier cas est le plus courant. Prenons un exemple&nbsp;: nous avons créé un cloud personnel où les utilisateurs peuvent stocker leurs fichiers. Cette application est construite avec une SPA pour le front et communique avec une API sécurisée en utilisant un jeton JWT. Jean a ajouté une grosse vidéo montrant une session de codage en direct d&rsquo;une fonctionnalité intéressante d&rsquo;API Platform, et il veut la télécharger pour la regarder à nouveau.



Le premier réflexe pour implémenter cette fonctionnalité de téléchargement dans la SPA serait de faire quelque chose comme ça&nbsp;:





Cette méthode présente de nombreux inconvénients&nbsp;:



<ul><li>L&rsquo;interface de téléchargement du navigateur n&rsquo;est utilisée qu&rsquo;après le téléchargement du fichier. Nous devons montrer à Jean qu&rsquo;un téléchargement est en cours, par exemple en ajoutant un spinner quelque part. Jean ne peut pas mettre en pause ou annuler le téléchargement.</li><li>Le fichier téléchargé est stocké en mémoire jusqu&rsquo;à ce qu&rsquo;il soit complet, ce qui peut entraîner des problèmes de performance si le fichier est trop volumineux.</li></ul>



Pour résoudre ce problème, il serait possible d&rsquo;utiliser le jeton JWT dans la query string pour télécharger la vidéo. Oui, <a href="https://tools.ietf.org/html/rfc6750#section-2.3" target="_blank" rel="noopener">c’est possible</a>, mais c’est une mauvaise idée&nbsp;:



<ul><li>Un jeton JWT peut être gros. Assez gros pour dépasser la limite de longueur de l&rsquo;URL.</li><li>Vous ne voulez pas que les jetons JWT apparaissent dans les logs de votre serveur. Il s&rsquo;agit d&rsquo;une faille de sécurité dans votre application qui faciliterait une attaque de type <a href="https://en.wikipedia.org/wiki/Session_hijacking" target="_blank" rel="noopener">session hijacking</a>.</li></ul>



C&rsquo;est pourquoi, dans ce cas, il est préférable d&rsquo;utiliser une URL signée, comme ceci&nbsp;:





C&rsquo;est beaucoup mieux&nbsp;: fetch() est uniquement utilisée pour obtenir l&rsquo;URL signée avec de l’authentification, URL signée qui est ensuite utilisée directement pour télécharger le fichier. Et bien sûr, vous pouvez aussi utiliser cette génération d&rsquo;URL signée pour ajouter une fonction de partage, par exemple si Jean veut que ses ami·e·s téléchargent la vidéo sans être authentifié·e·s.



Laravel inclut la <a href="https://laravel.com/docs/5.6/urls#signed-urls" target="_blank" rel="noopener">génération d&rsquo;URLs signées</a> depuis sa version 5.6, mais il n&rsquo;y avait pas de moyen facile de le faire dans Symfony.



Avec le <a href="https://github.com/coopTilleuls/UrlSignerBundle" target="_blank" rel="noopener">UrlSignerBundle</a>, c&rsquo;est maintenant corrigé !



Alors, comment l&rsquo;utiliser ?



<h3>Utilisation</h3>



Première étape, installer le bundle. En utilisant Symfony Flex, c&rsquo;est très simple&nbsp;:





Grâce à Flex, toute la configuration a été faite (voir le fichier config/packages/url_signer.yaml).



Puis changez la signature dans le fichier .env (ou .env.local)&nbsp;:





Tout est prêt pour commencer à utiliser le bundle et pour créer votre URL signée !



Par exemple dans un contrôleur, nous allons injecter le service UrlSignerInterface puis l’utiliser pour créer une URL signée qui sera retournée dans la réponse JSON de la route /videos/{id}/signed-url&nbsp;:





Nous pouvons maintenant récupérer une URL signée à partir de la route /videos/{id}/signed-url. L&rsquo;URL signée ressemblera à ceci&nbsp;:



/videos/d35e0296-7b19-42be-82f2-789213229f36/download?expires=1611316656&amp;signature=82f6958bd5c96fda58b7a55ade7f651fadb51e12171d58ed271e744bcc7c85c3



Comme vous pouvez le constater, l’URL signée possède deux paramètres&nbsp;:



<ul><li>expires qui contient le timestamp de la date d’expiration&nbsp;: l’URL n’est plus valide passée cette date.</li><li>signature qui est en fait le hash du path, du paramètre d’expiration et du secret.</li></ul>



La dernière étape consiste à la valider lors de l&rsquo;accès à la route correspondant à l&rsquo;URL. Nous réutilisons notre VideoController&nbsp;:





Comme vous pouvez le voir, nous venons d&rsquo;ajouter un <a href="https://symfony.com/doc/current/routing.html#extra-parameters" target="_blank" rel="noopener">paramètre extra</a> _signed à la route. C’est ce paramètre qui active la validation de la signature lorsqu’une requête arrive sur à la route.



Et c&rsquo;est tout ! Si vous accédez à la route de téléchargement sans signature ou avec une signature invalide, vous obtiendrez une réponse 403.



Si vous voulez utiliser des URLs signées dans API Platform, comment faire ? Et bien c&rsquo;est encore plus facile !



Voici à quoi cela ressemblera&nbsp;:





L’opération signed_url permet de créer l’URL signée (et possède de l’authentification). L’opération download permet de télécharger la vidéo en se servant de l’URL signée, avec le paramètre extra _signed qui permet d’activer la validation de l’URL signée. Les contrôleurs correspondants sont très ressemblants au contrôleur VideoController précédent.



<h3>Fonctionnalités</h3>



Il y a bien sûr d&rsquo;autres fonctionnalités dans le bundle&nbsp;:



<ul><li>L&rsquo;algorithme de signature de l&rsquo;URL peut être modifié. Par défaut, il s&rsquo;agit de SHA-256.</li><li>Vous pouvez créer facilement votre propre Signer&nbsp;: étendez la classe AbstractUrlSigner, et vous avez terminé (vous pouvez l’utiliser en modifiant la configuration dans le fichier config/packages/url_signer.yaml) !</li><li>Le délai avant expiration est personnalisable (par défaut fixé à 24h).</li><li>Les noms des paramètres dans l&rsquo;URL signée sont personnalisables.</li></ul>



<h3>Comment ça fonctionne ?</h3>



En interne le bundle utilise la bibliothèque <a href="https://github.com/spatie/url-signer" target="_blank" rel="noopener">spatie/url-signer</a>.



Chaque Signer correspond à un algorithme et étend une classe abstraite (AbstractUrlSigner) basée sur le signer de Spatie. Dans un compiler pass dédié, le signer configuré est automatiquement aliasé par UrlSignerInterface.



Pour la validation, la méthode est très simple&nbsp;: un event listener est utilisé. Lors de chaque requête, il vérifie si la route a le paramètre _signed. Si c&rsquo;est le cas, la signature est validée en utilisant le signer.



Le bundle est très bien testé&nbsp;: il dispose de tests unitaires avec PHPUnit et Prophecy et de tests fonctionnels avec Behat et la SymfonyExtension. Les tests couvrent 100% du code, et mieux encore, le score de mutation, calculé avec le framework de test de mutation <a href="https://infection.github.io" target="_blank" rel="noopener">Infection</a> est également de 100%.



Enfin, la couverture des types est également de 100 %, calculée par Psalm (PHPStan est également utilisé).



Si vous avez besoin d&rsquo;URLs signées dans un projet Symfony ou API Platform, ce bundle est fait pour vous ! N&rsquo;hésitez pas à le tester, à nous dire ce que vous en pensez, et pourquoi pas à contribuer à son développement sur GitHub&nbsp;: <a href="https://github.com/coopTilleuls/UrlSignerBundle" target="_blank" rel="noopener">https://github.com/coopTilleuls/UrlSignerBundle</a>.

UrlSignerBundle, créer et valider des URLs signées avec Symfony

Une URL signée est une URL contenant des informations d&rsquo;authentification directement dans sa query string. Elle permet à un utilisateur non authentifié d&rsquo;accéder à des ressources ou à des routes protégées, pour une durée limitée. Signer une URL peut être très utile dans une application stateless. Il existe deux cas d&rsquo;utilisation principaux&nbsp;: permettre à un [&hellip;]

UrlSignerBundle, créer et valider des URLs signées avec Symfony | Les-Tilleuls.coop

https://api.les-tilleuls.coop/wp-content/uploads/2021/08/419.png

https://secure.gravatar.com/avatar/04b6d9886e782e0676c0d26063f77ac9?s=96&d=mm&r=g

Alan Poulain


 namespace AppTestsController;-use SymfonyBundleFrameworkBundleTestWebTestCase;
+use SymfonyComponentPantherPantherTestCase;-class PostControllerTest extends WebTestCase
+class PostControllerTest extends PantherTestCase
 {
     public function testShowPost()
     {
-        $client = static::createClient();
+        $client = static::createPantherClient();
 
         $client->request('GET', '/post/hello-world');
         $this->assertSelectorTextContains('html h1.title', 'Hello World');
    }
 }

composer require --dev dbrekelmans/bdi
vendor/bin/bdi detect drivers

&lt;extensions>
    &lt;extension class="SymfonyComponentPantherServerExtension" />
&lt;/extensions>

Utilisation de MakerBundle pour g&eacute;n&eacute;rer des classes de test


&lt;?php
// tests/MyPantherTest.php
namespace AppTests;

use SymfonyComponentPantherPantherTestCase;

class MyPantherTest extends PantherTestCase
{
    public function testSomething(): void
    {
        $client = static::createPantherClient();
        $crawler = $client->request('GET', '/');
        $this->assertSelectorTextContains('h1', 'Hello World');
    }
}

Am&eacute;lioration de l'exp&eacute;rience de d&eacute;bogage


PANTHER_NO_HEADLESS=1 bin/phpunit --debug

Am&eacute;lioration des tests asynchrones


// assets/controllers/hello_controller.js
export default class extends Controller {
    connect() {
        setTimeout(
            () => this.element.textContent = 'Ceci remplacera le contenu du div après 1 seconde !',
            1000
        );
    }
}

{# templates/hello/hello.html.twig #}
&lt;div data-controller="hello">Contenu initial&lt;/div>

&lt;?php

namespace AppTests;

use SymfonyComponentPantherPantherTestCase;

class HelloControllerTest extends PantherTestCase
{
    public function testSomething(): void
    {
        $client = static::createPantherClient();
        $client->request('GET', '/hello');
        $this->assertSelectorTextContains('div[data-controller="hello"]', 'Contenu initial');        // Wait for the text to change
        $client->waitForElementToContain('div[data-controller="hello"]', 'Ceci remplacera le contenu du div après 1 seconde !');
        // Then assert
        $this->assertSelectorTextContains('div[data-controller="hello"]', 'Ceci remplacera le contenu du div après 1 seconde !');
    }
}

&lt;?php

namespace AppTests;

use SymfonyComponentPantherPantherTestCase;

class HelloControllerTest extends PantherTestCase
{
    public function testSomething(): void
    {
        static::createPantherClient()->request('GET', '/hello');
        $this->assertSelectorTextContains('div[data-controller="hello"]', 'Contenu initial');
        $this->assertSelectorWillContain('div[data-controller="hello"]', 'Ceci remplacera le contenu du div après 1 seconde !');
    }
}

Une communaut&eacute; et une utilisation grandissante


<a href="https://symfony.com/blog/announcing-symfony-panther-1-0" target="_blank" rel="noopener">Read the original version of this post written by Kévin Dunglas</a>.



2 ans après <a href="https://les-tilleuls.coop/fr/blog/article/panther-testez-vos-apps-symfony-avec-un-vrai-navigateur-web" target="_blank" rel="noopener">sa première publication</a>, nous sommes ravis de vous annoncer <a href="https://github.com/symfony/panther/releases" target="_blank" rel="noopener">la disponibilité immédiate de la version 1.0 de Panther</a> !&nbsp;



<div class="wp-block-image"><figure class="aligncenter"><a href="https://github.com/symfony/panther" target="_blank" rel="noopener"><img src="https://api.les-tilleuls.coop/wp-content/uploads/2021/08/415.jpg" alt="panther" title="panther"/></a></figure></div>



Panther est une bibliothèque de tests qui s&rsquo;appuie sur <a href="https://www.w3.org/TR/webdriver/" target="_blank" rel="noopener">la spécification W3C WebDriver</a> pour manipuler de vrais navigateurs web. Les navigateurs Chrome et Firefox sont nativement supportés tandis que Safari, Edge et Opera peuvent être utilisés avec une configuration supplémentaire. Les services Cloud de tests avec navigateur comme Sauce Labs ou Browserstack sont également pris en charge.&nbsp;



Comme vous le savez sûrement, l’équipe qui maintient Symfony <a href="https://symfony.com/blog/webpack-encore-1-0-and-stimulus-bridge-2-0-released" target="_blank" rel="noopener">travaille d’arrache-pied</a> pour fournir une intégration moderne et simple de JavaScript directement dans le framework via <a href="https://symfony.com/blog/new-in-symfony-the-ux-initiative-a-new-javascript-ecosystem-for-symfony" target="_blank" rel="noopener">l&rsquo;initiative UX</a>. Dans ce contexte, il devient indispensable de disposer d&rsquo;une bonne bibliothèque de tests de navigateurs qui supporte JavaScript.&nbsp;



Puisque Panther implémente <a href="https://symfony.com/doc/current/components/browser_kit.html" target="_blank" rel="noopener">l&rsquo;API de BrowserKit</a>, il est facile de l&rsquo;utiliser avec le reste de l&rsquo;écosystème Symfony. Par exemple, les tests fonctionnels existants peuvent être exécutés à l&rsquo;aide d&rsquo;un véritable navigateur via Panther (presque) sans aucune modification du code :





Cela signifie également que vous pouvez tester <a href="https://github.com/symfony/stimulus-bridge#usage-creating-custom-controllers" target="_blank" rel="noopener">vos templates Twig améliorés avec du JavaScript</a> directement avec PHPUnit (et d&rsquo;autres outils de test) !



Sous le capot, Panther démarre automatiquement un serveur web exposant votre application et le pilote du navigateur (Selenium Server n&rsquo;est pas nécessaire), puis utilise la bibliothèque PHP WebDriver (<a href="https://github.com/php-webdriver/php-webdriver/commits?author=dunglas" target="_blank" rel="noopener">nous contribuons à sa maintenance et son amélioration</a>) pour exécuter le scénario.



Au cours de ces deux dernières années, <a href="https://github.com/symfony/panther/graphs/contributors" target="_blank" rel="noopener">69 personnes</a> ont travaillé à la stabilisation de Panther, à l&rsquo;amélioration de son expérience utilisateur et à sa rapidité ! Ces derniers jours, nous avons également considérablement amélioré l&rsquo;API de test, l&rsquo;intégration avec les autres composants du framework, y compris Flex et MakerBundle, ainsi que l&rsquo;expérience de débogage. Découvrons ensemble ces nouveautés.



<h3>Une meilleure expérience</h3>



Pour améliorer l&rsquo;expérience initiale avec Panther, nous avons ajouté <a href="https://symfony.com/doc/current/quick_tour/flex_recipes.html" target="_blank" rel="noopener">une recette Flex</a> générant la configuration nécessaire. Exécutez la commande suivante pour installer Panther et son intégration PHPUnit dans n&rsquo;importe quel projet Symfony :<code class="language-php"> composer req --dev panther phpunit</code>



Comme indiqué dans le message de post-installation, vous avez également besoin de ChromeDriver ou geckodriver selon que vous souhaitez effectuer vos tests avec Google Chrome (par défaut) ou Mozilla Firefox. Vous pouvez également exécuter toute votre suite de tests en utilisant les deux pour vous assurer que votre projet fonctionne correctement avec les deux navigateurs les plus populaires.



Pour installer ces pilotes, utilisez le gestionnaire de paquets de votre système d&rsquo;exploitation ou exécutez le Browser Driver Installer de <a href="https://connect.symfony.com/profile/dbrekelmans" target="_blank" rel="noopener">Daniël Brekelmans</a>, qui est maintenant supporté par Panther :





Mieux encore : si vous utilisez <a href="https://github.com/dunglas/symfony-docker" target="_blank" rel="noopener">une définition Docker compatible</a>, vous n&rsquo;avez rien à faire, Flex met automatiquement à jour le Dockerfile pour installer ChromeDriver dans l&rsquo;image. Nous reviendrons sur cette nouvelle intégration de Docker dans un prochain article !&nbsp;Enfin, ouvrez phpunit.xml.dist et décommentez le bloc ajouté par Flex pour enregistrer l&rsquo;extension PHPUnit :





<h3>Utilisation de MakerBundle pour générer des classes de test</h3>



Nous avons également amélioré l&rsquo;intégration de Panther avec MakerBundle ! Il contient maintenant une commande dédiée pour générer des squelettes de test Panther. Utilisez-la pour créer votre premier test Panther :&nbsp;<code class="language-php"> bin/console make:test</code>



Lorsque l’on vous demandera le type de test à générer, choisissez PantherTestCase. Un fichier test similaire à celui-ci sera généré :





Faîtes-le avec :&nbsp;





<h3>Amélioration de l&rsquo;expérience de débogage</h3>



Bien évidemment, ce test va échouer puisque nous n&rsquo;avons pas encore créé de pages dans notre application. Jetez un coup d&rsquo;œil aux contenus du répertoire var/error-screenshots/ ! Pour vous aider à déboguer vos tests, Panther prend désormais automatiquement une capture d&rsquo;écran de la fenêtre du navigateur lorsqu&rsquo;un test échoue :&nbsp;



<div class="wp-block-image"><figure class="aligncenter"><img src="https://api.les-tilleuls.coop/wp-content/uploads/2021/08/416.png" alt="screen" title="screen"/></figure></div>



Ce n’est pas tout ! Parfois, il peut être pratique d&rsquo;inspecter les logs de la console, d&rsquo;utiliser un débogueur JavaScript ou de jouer avec l&rsquo;application pour comprendre le problème.



Exécutez :





<div class="wp-block-image"><figure class="aligncenter"><img src="https://api.les-tilleuls.coop/wp-content/uploads/2021/08/417.png" alt="screen 2" title="screen 2"/></figure></div>



Grâce à la variable d&rsquo;environnement PANTHER_NO_HEADLESS, Panther ouvre une véritable fenêtre de navigateur afin que vous puissiez voir ce qu’il se passe. Et comme l&rsquo;option &#8211;debug est activée (ajoutée par <a href="https://connect.symfony.com/profile/maidmaid" target="_blank" rel="noopener">Dany Maillard</a>), si le test échoue, Panther conservera la fenêtre ouverte jusqu&rsquo;à ce que vous appuyiez sur “entrée” dans le terminal. Cela vous permet de voir l&rsquo;application dans l&rsquo;état exact où elle se trouvait lorsque l&rsquo;erreur s&rsquo;est produite, et d&rsquo;utiliser les outils de développement du navigateur pour résoudre le problème.



<h3>Amélioration des tests asynchrones</h3>



En plus des assertions fournies <a href="https://phpunit.readthedocs.io/en/stable/assertions.html" target="_blank" rel="noopener">par PHPUnit</a> et par <a href="https://symfony.com/doc/current/testing/functional_tests_assertions.html" target="_blank" rel="noopener">Symfony</a>, Panther comprend de nombreuses assertions consacrées aux tests de sites web utilisant JavaScript et CSS. Grâce à ces assertions, il est facile d&rsquo;exécuter des scénarios tels que « cet élément doit apparaître après un clic sur ce bouton », « ce texte doit être masqué avant que cette action de l&rsquo;utilisateur ne se produise », « ce bouton doit être désactivé lorsque le formulaire n&rsquo;est pas valide »&#8230;



Dans cette nouvelle version de Panther, nous avons ajouté de nouvelles assertions permettant de vérifier facilement qu’une action prévue se produise effectivement.



Supposons que Symfony UX soit installé. Si ce n&rsquo;est pas le cas, lancez composer require ux. N&rsquo;oubliez pas de suivre les instructions affichées par la recette Flex pour terminer l&rsquo;installation et démarrer le serveur de développement de Webpack Encore. Pour plus de détails, consultez <a href="https://github.com/symfony/stimulus-bridge" target="_blank" rel="noopener">la documentation</a> du bridge Stimulus.



Ensuite, créez un contrôleur Stimulus :





Et voici le template Twig correspondant à une page accessible via /hello :





Le texte « Contenu initial » sera affiché pendant 1 seconde, puis remplacé par le contrôleur Stimulus. Nous utilisons setTimeout() par souci de simplification, mais dans les applications en situation réelle, votre contrôleur ira probablement chercher des données avec fetch() auprès d’un endpoint API Platform ou <a href="https://symfony.com/doc/current/mercure.html" target="_blank" rel="noopener">attendra des données provenant d&rsquo;un hub Mercure</a>.



Comment pouvons-nous vérifier que le texte est réellement remplacé ? En utilisant Panther, bien évidemment !



Jusqu&rsquo;à la sortie de Panther 1.0, voici le test que vous deviez écrire :





Comme vous pouvez le constater, le fait de devoir utiliser le client pour attendre le résultat de l&rsquo;opération asynchrone avant l’assertion est lourd et répétitif.&nbsp;



Pour Panther 1.0, <a href="https://github.com/Gregcop1" target="_blank" rel="noopener">Grégory Copin</a> (l’un de nos coopérateurs) a ajouté un certain nombre <a href="https://github.com/symfony/panther/blob/main/CHANGELOG.md#100" target="_blank" rel="noopener">de nouvelles assertions</a> qui améliorent considérablement l&rsquo;expérience du développeur. Voici à quoi cela ressemble :





<h3>Une communauté et une utilisation grandissante</h3>



Panther commence à être utilisé comme base pour d’autres bibliothèques, voici celles que nous trouvons particulièrement intéressantes :&nbsp;&nbsp;



<ul><li role="presentation"><a href="https://github.com/zrashwani/arachnid" target="_blank" rel="noopener">Arachnid Web Crawler</a>, une bibliothèque qui parcourt votre site en utilisant Panther pour extraire des informations liées au référencement.&nbsp;&nbsp;&nbsp;</li><li role="presentation"><a href="https://github.com/zenstruck/browser" target="_blank" rel="noopener">zenstruck/browser</a>, une bibliothèque construite sur BrowserKit et Panther fournissant une interface fluide pour écrire vos tests d&rsquo;intégration et vos tests de bout en bout.</li><li role="presentation"><a href="https://github.com/blackfireio/php-sdk" target="_blank" rel="noopener">Blackfire PHP SDK</a> permet d&rsquo;ajouter des assertions de performance à vos tests en utilisant Blackfire, et dispose maintenant d&rsquo;un support natif pour Panther.</li><li role="presentation"><a href="https://github.com/robertfausk/behat-panther-extension" target="_blank" rel="noopener">BehatPantherExtension</a> est une extension ajoutant le support de Panther au framework de tests Behat.&nbsp;&nbsp;</li></ul>



<h3>Sauvez les (vraies) panthères !</h3>



Alors que nous utilisons Panther pour tester nos web apps, nos félins à l&rsquo;état sauvage sont en voie d&rsquo;extinction. Si vous ou votre entreprise utilisez Panther (la bibliothèque) et que vous êtes rémunéré·s grâce à son utilisation, pensez à faire un don à <a href="https://www.panthera.org/donate" target="_blank" rel="noopener">Panthera</a>, une ONG qui s&rsquo;efforce de protéger ces animaux.



Vous pouvez aussi <a href="mailto:gregory@les-tilleuls.coop">nous contacter</a> si vous avez besoin d&rsquo;expertise sur l’utilisation de cette bibliothèque, et même <a href="https://github.com/sponsors/dunglas" target="_blank" rel="noopener">sponsoriser son créateur</a> !&nbsp;



Par ailleurs, savez-vous pourquoi le félin sur le logo de Panther n’est pas de couleur noire ? Tout comme le f de Symfony, <a href="https://atfactoftheday.blogspot.com/2009/01/what-color-is-panther.html" target="_blank" rel="noopener">ce n’est pas une erreur</a> ! Le nom initial du projet était <a href="https://twitter.com/dunglas/status/981514394629746688" target="_blank" rel="noopener">Panthère</a>, en français, qui se traduit par “leopard” en anglais. Quand la Core Team Symfony a décidé d’accueillir le projet au sein du framework, elle a également décidé de retirer le e final et l’accent pour rendre le nom plus facile à écrire par les non-francophones, mais le logo est resté.&nbsp;



Mais ce n’est pas l’histoire intégrale. Les panthères peuvent être de plusieurs couleurs, alors pourquoi avoir choisi un pelage jaune avec des taches noires pour ce logo ? Si vous êtes lillois·e ou originaire du Nord Pas-de-Calais, vous devez sûrement le savoir&#8230; Si cela ne vous parle pas, demandez-nous ! On se fera un plaisir de vous l’expliquer <a href="https://www.meetup.com/fr-FR/AperoCode-by-Les-Tilleuls-coop/events/276005418/" target="_blank" rel="noopener">lors d’une conférence ou d’un meetup</a> !&nbsp;

Sortie de Panther 1.0 !

Read the original version of this post written by Kévin Dunglas. 2 ans après sa première publication, nous sommes ravis de vous annoncer la disponibilité immédiate de la version 1.0 de Panther !&nbsp; Panther est une bibliothèque de tests qui s&rsquo;appuie sur la spécification W3C WebDriver pour manipuler de vrais navigateurs web. Les navigateurs Chrome [&hellip;]

Sortie de Panther 1.0 ! | Les-Tilleuls.coop

https://api.les-tilleuls.coop/wp-content/uploads/2021/08/415.jpg

En 2021, notre coopérative continue de vous proposer des workshops aux thèmes variés ! Après une fin d&rsquo;année axée sur <a href="https://les-tilleuls.coop/fr/blog/article/workshop-vuejs-marion-age" target="_blank" rel="noopener">JavaScript</a> et un mois de janvier consacré à <a href="https://les-tilleuls.coop/fr/blog/article/workshop-api-platform-2-6" target="_blank" rel="noopener">la version 2.6 d&rsquo;API Platform</a>, nous vous proposons le 22 février&nbsp;un atelier sur les origines de REST&nbsp;animé par <a href="https://twitter.com/gheb_dev" target="_blank" rel="noopener">Grégoire Hébert</a>, consultant chez nous et auteur de <a href="https://les-tilleuls.coop/fr/blog/article/memex-la-route-du-rest" target="_blank" rel="noopener">Memex &#8211; La route du REST</a>.



<div class="wp-block-image"><figure class="aligncenter"><a href="https://masterclass.les-tilleuls.coop/workshops#rest" target="_blank" rel="noopener"><img src="https://api.les-tilleuls.coop/wp-content/uploads/2021/08/413.jpg" alt="workshop rest" title="workshop rest"/></a></figure></div>



Lors de ce workshop, vous découvrirez comment le REST a été conçu et quelles sont les bonnes pratiques de conception, de développement et d’architecture des APIs REST. Vous verrez également&nbsp;quels sont les outils associés ainsi que les vulnérabilités les plus communes de ce concept. Vous souhaitez&nbsp;en apprendre un peu plus sur le fonctionnement d&rsquo;internet, les origines du web, et des concepts établis qui font le web d&rsquo;aujourd&rsquo;hui ? Ce workshop est définitivement fait pour vous ! De plus, aucun pré-requis n&rsquo;est demandé : que vous soyez développeur·se ou juste intéressé par ce concept, tout le monde&nbsp;apprendra forcément quelque chose. Comme chacune de nos formations, cet événement est éligible aux financement par les OPCO et FNE :&nbsp;<a href="https://masterclass.les-tilleuls.coop/contact" target="_blank" rel="noopener">contactez-nous</a>&nbsp;si vous avez besoin d&rsquo;accompagnement dans la constitution de votre dossier, <a href="https://fr.linkedin.com/in/thomas-thorez-11ba34173" target="_blank" rel="noopener">Thomas</a> vous aidera&nbsp;!



En bonus de ce workshop, n&rsquo;oubliez pas que ce jeudi soir à 19h, nous serons aux manettes de notre chaîne Youtube pour <a href="https://www.meetup.com/fr-FR/AperoCode-by-Les-Tilleuls-coop/events/276005418/" target="_blank" rel="noopener">un nouvel ApéroCode</a> avec Grégoire Hébert et <a href="http://twitter.com/dunglas" target="_blank" rel="noopener">Kévin Dunglas</a>. Tandis que Grégoire vous donnera un avant-goût de son atelier, Kévin vous montrera qu&rsquo;il est possible de bâtir un web éthique et décentralisé quand on a les bons outils à portée de main !&nbsp;



<blockquote class="twitter-tweet">Retrouvez-nous la semaine prochaine pour un nouvel <a href="https://twitter.com/hashtag/AperoCode?src=hash&amp;ref_src=twsrc%5Etfw">#AperoCode</a> en ligne, depuis notre chaîne Youtube ! Tandis que <a href="https://twitter.com/gheb_dev?ref_src=twsrc%5Etfw">@gheb_dev</a> abordera les origines de REST, <a href="https://twitter.com/dunglas?ref_src=twsrc%5Etfw">@dunglas</a> montrera qu&rsquo;il est possible de bâtir un web éthique quand on a les bons outils à proximité ! <a href="https://t.co/NQrcEl3GCs">https://t.co/NQrcEl3GCs</a> <a href="https://t.co/4xuSRWgfp3">pic.twitter.com/4xuSRWgfp3</a>— Les-Tilleuls.coop (@coopTilleuls) <a href="https://twitter.com/coopTilleuls/status/1357261271750574080?ref_src=twsrc%5Etfw">February 4, 2021</a></blockquote>
<script async="" src="//platform.twitter.com/widgets.js" charset="utf-8"></script>



<a href="https://www.meetup.com/fr-FR/AperoCode-by-Les-Tilleuls-coop/events/276005418/" target="_blank" rel="noopener">Inscrivez-vous sur le groupe</a> pour ne manquer aucune mise à jour !

Workshop : découvrez les origines du REST avec Grégoire Hébert le 22 février

En 2021, notre coopérative continue de vous proposer des workshops aux thèmes variés ! Après une fin d&rsquo;année axée sur JavaScript et un mois de janvier consacré à la version 2.6 d&rsquo;API Platform, nous vous proposons le 22 février&nbsp;un atelier sur les origines de REST&nbsp;animé par Grégoire Hébert, consultant chez nous et auteur de Memex [&hellip;]

Workshop : découvrez les origines du REST avec Grégoire Hébert le 22 février | Les-Tilleuls.coop

https://api.les-tilleuls.coop/wp-content/uploads/2021/08/414.jpg

&lt;?php

namespace AppExtension;

use DoctrinePersistenceManagerRegistry;
use SoyukaESQLBridgeApiPlatformExtensionQueryCollectionExtensionInterface;
use SoyukaESQLESQLInterface;
use AppEntityCategory;
use AppEntityProduct;
use SymfonyComponentHttpFoundationRequestStack;
use SymfonyComponentHttpKernelExceptionBadRequestHttpException;

final class CategoryFilterExtension implements QueryCollectionExtensionInterface
{
    private RequestStack $requestStack;
    private ESQLInterface $esql;
    private ManagerRegistry $managerRegistry;

    public function __construct(RequestStack $requestStack, ESQLInterface $esql, ManagerRegistry $managerRegistry)
    {
        $this->requestStack = $requestStack;
        $this->esql = $esql;
        $this->managerRegistry = $managerRegistry;
    }

    public function apply(string $query, string $resourceClass, ?string $operationName = null, array $parameters = [], array $context = []): array
    {
        $request = $this->requestStack->getCurrentRequest();        // Just return early if the category parameter is not present
        if (null === $request || !$request->query->has('category') || null === $categoryParameter = $request->query->get('category')) {
            return [$query, $parameters];
        }
        if (is_array($categoryParameter)) {
            throw new BadRequestHttpException();
        }
        $product = $this->esql->__invoke($resourceClass);
        $category = $this->esql->__invoke(Category::class);        // We change the query and use this one instead, it joins descendants over the products
        $query = &lt;&lt;&lt;SQL
WITH RECURSIVE
    descendants(identifier, name, parent_id) AS (
        SELECT c.identifier, c.name, c.parent_id FROM category c WHERE c.identifier = :category
        UNION ALL
        SELECT c.identifier, c.name, c.parent_id FROM descendants, category c WHERE c.parent_id = descendants.identifier
    )
SELECT {$product->columns()} FROM {$product->table()}
JOIN descendants {$category->alias()} ON {$product->join(Category::class)}
SQL;
        $parameters['category'] = $categoryParameter;
        return [$query, $parameters];
    }

    public function supports(string $resourceClass, ?string $operationName = null, array $context = []): bool
    {
        return Product::class === $resourceClass;
    }
}

AppExtensionCategoryFilterExtension:
    tags: ['esql.collection_extension']

&lt;?php

namespace AppEntity;

use ApiPlatformCoreAnnotationApiProperty;
use ApiPlatformCoreAnnotationApiResource;
use DoctrineCommonCollectionsCollection;
use DoctrineORMMapping as ORM;

/**
 * @ApiResource(iri="http://schema.org/Category")
 * @ORM\Entity
 */
class Category
{
    /**
     * @ORM\Column(type="string", length=255)
     */
    public string $name;
    /**
     * @ORM\Column(type="string", length=30)
     * @ORM\Id
     * @ApiProperty(iri="http://schema.org/identifier", identifier=true)
     */
    public string $identifier;
    /**
     * @ORM\OneToMany(targetEntity="Category", mappedBy="parent")
     * @ApiProperty(readable=false)
     */
    private Collection $children;
    /**
     * @ORM\ManyToOne(targetEntity="Category", inversedBy="children")
     * @ORM\JoinColumn(name="parent_id", referencedColumnName="identifier")
     */
    public ?Category $parent = null;
}

&lt;?php

namespace AppEntity;
class Product
{
    /**
     * @ApiProperty(iri="http://schema.org/category")
     */
    private string $category = '';

    public function getCategory(): string
    {
        $category = $this->categoryRelation;
        $str = $category->name;
        while ($category = $category->parent) {
            $str = $category->name . ' / ' . $str;
        }
        return $str;
    }
}

&lt;?php

namespace AppEntity;

use ApiPlatformCoreAnnotationApiProperty;
use ApiPlatformCoreAnnotationApiResource;
use DoctrineORMMapping as ORM;
use SymfonyBridgeDoctrineIdGeneratorUlidGenerator;
use SymfonyComponentUidUlid;

/**
 * @ApiResource(iri="http://schema.org/Product")
 * @ORM\Entity
 */
class Product
{
    /**
     * @ORM\Id
     * @ORM\Column(type="ulid", unique=true)
     * @ORM\GeneratedValue(strategy="CUSTOM")
     * @ORM\CustomIdGenerator(class=UlidGenerator::class)
     */
    private Ulid $id;
    /**
     * @ORM\Column(type="string", length=255)
     * @ApiProperty(iri="http://schema.org/name")
     */
    public string $name;
    /**
     * @ORM\Column(type="string", length=255)
     * @ApiProperty(iri="http://schema.org/description")
     */
    public string $description;
    /**
     * @ORM\ManyToOne(targetEntity=Category::class)
     * @ORM\JoinColumn(name="category_id", referencedColumnName="identifier")
     * @ApiProperty(readable=false)
     */
    public Category $categoryRelation;
    /**
     * @ApiProperty(iri="http://schema.org/category")
     */
    private string $category = '';
    /**
     * @ApiProperty(iri="https://schema.org/gtin")
     * @ORM\Column(type="string", length=14)
     */
    public string $gtin;

    public function getCategory(): string
    {
        $category = $this->categoryRelation;
        $str = $category->name;
        while ($category = $category->parent) {
            $str = $category->name . ' / ' . $str;
        }
        return $str;
    }
}


AppEntityProduct:
    product_{1..100}:
        gtin: '&lt;ean13()>'
        name: '&lt;name()>'
        description: '&lt;realText(140)>'
        categoryRelation: '@&lt;randomElement([vegetables_specified,bagged_salads,herbs_aromatic,fresh_fruits,dried_fruits,iceberg])>'

{
  "@context": "/api/contexts/Product",
  "@id": "/api/products",
  "@type": "hydra:Collection",
  "hydra:member": [
    {
      "@id": "/api/products/01774d7b-a79e-a138-6ff2-e94806f06837",
      "@type": "http://schema.org/Product",
      "name": "Tianna Ziemann",
      "description": "Knave was standing before them, in chains, with a round face, and was gone across to the croquet-ground. The other guests had taken his.",
      "gtin": "5794390900075",
      "id": "01774d7b-a79e-a138-6ff2-e94806f06837",
      "category": "Vegetables / Bagged salads / Iceberg"
    },
    {
      "@id": "/api/products/01774d7b-a79e-a138-6ff2-e94806f06838",
      "@type": "http://schema.org/Product",
      "name": "Dr. Samir Weimann DDS",
      "description": "Alice knew it was over at last: and I do wonder what I eat is the capital of Paris, and Paris is the reason and all her wonderful. ",
      "gtin": "4173048045459",
      "id": "01774d7b-a79e-a138-6ff2-e94806f06838",
      "category": "Vegetables / Herbs and Aromatic Plants"
    },
    {
      "@id": "/api/products/01774d7b-a79e-a138-6ff2-e94806f06839",
      "@type": "http://schema.org/Product",
      "name": "Anais Lockman IV",
      "description": "Alice did not feel encouraged to ask his neighbour to tell me who YOU are, first.' 'Why?' said the King said to Alice. 'What IS the same.",
      "gtin": "7892793312223",
      "id": "01774d7b-a79e-a138-6ff2-e94806f06839",
      "category": "Fruits / Dried Fruits"
    },.
  ],
  "hydra:totalItems": 100,
  "hydra:view": {
    "@id": "/api/products.jsonld?perPage=10&amp;page=1",
    "@type": "hydra:PartialCollectionView",
    "hydra:first": "/api/products.jsonld?perPage=10&amp;page=1",
    "hydra:last": "/api/products.jsonld?perPage=10&amp;page=10",
    "hydra:next": "/api/products.jsonld?perPage=10&amp;page=2"
  }
}

Comprendre la magie derri&egrave;re Doctrine et API Platform


&lt;?php

public function getCategory(): string
{
    $category = $this->categoryRelation;
    $str = $category->name;
    while ($category = $category->parent) {
        $str = $category->name . ' / ' . $str;
    }
    return $str;
}

Am&eacute;liorer l&rsquo;extraction de donn&eacute;es


WITH RECURSIVE
    descendants(identifier, name, parent_id) AS (
        SELECT c.identifier, c.name, c.parent_id FROM category c WHERE c.parent_id IS NULL
        UNION ALL
        SELECT c.identifier, c.name, c.parent_id FROM descendants, category c WHERE c.parent_id = descendants.identifier
    )
SELECT c.identifier, c.name, c.parent_id FROM descendants c

&lt;?php

# config/bundles.php
return [
    // ...
    JaneAutoMapperBundleJaneAutoMapperBundle::class => ['all' => true],
    SoyukaESQLBridgeSymfonyBundleESQLBundle::class => ['all' => true],
];

&lt;?php

/**
 * @ApiResource(iri="http://schema.org/Product", attributes={"esql"=true})
 * @ORM\Entity
 */
class Product

AppDataProviderProductDataProvider:
  tags:
    - { name: 'api_platform.collection_data_provider', priority: 20 }
  arguments:
    $decorated: '@esql.api_platform.default.collection_data_provider'

&lt;?php

namespace AppDataProvider;

use ApiPlatformCoreDataProviderCollectionDataProviderInterface;
use ApiPlatformCoreDataProviderContextAwareCollectionDataProviderInterface;
use ApiPlatformCoreDataProviderRestrictedDataProviderInterface;
use DoctrinePersistenceManagerRegistry;
use SoyukaESQLESQL;
use SoyukaESQLESQLInterface;
use SoyukaESQLESQLMapperInterface;
use AppEntityCategory;
use AppEntityProduct;
use SymfonyComponentHttpFoundationRequestStack;
use SymfonyComponentHttpKernelExceptionBadRequestHttpException;

final class ProductDataProvider implements RestrictedDataProviderInterface, CollectionDataProviderInterface, ContextAwareCollectionDataProviderInterface
{
    private RequestStack $requestStack;
    private ManagerRegistry $managerRegistry;
    private ESQLMapperInterface $mapper;
    private ESQLInterface $esql;
    private ContextAwareCollectionDataProviderInterface $decorated;

    public function __construct(RequestStack $requestStack, ManagerRegistry $managerRegistry, ESQLMapperInterface $mapper, ESQLInterface $esql, ContextAwareCollectionDataProviderInterface $decorated)
    {
        $this->requestStack = $requestStack;
        $this->managerRegistry = $managerRegistry;
        $this->mapper = $mapper;
        $this->esql = $esql;
        $this->decorated = $decorated;
    }

    public function supports(string $resourceClass, string $operationName = null, array $context = []): bool
    {
        return Product::class === $resourceClass;
    }

    public function getCollection(string $resourceClass, string $operationName = null, array $context = [])
    {
        // Call the DataProvider to retrieve products
        $data = $this->decorated->getCollection($resourceClass, $operationName, $context);
        // Fetch categories
        $categories = $this->getCategories();        // Map categories to the product ourselves
        foreach ($data as $product) {
            foreach ($categories as $category) {
                if ($product->categoryRelation->identifier === $category->identifier) {
                    $product->categoryRelation = $category;
                }
            }
        }
        return $data;
    }

    private function getCategories(): array
    {
        $categoryParameter = null === ($request = $this->requestStack->getCurrentRequest()) ? null : $request->query->get('category');

        if (is_array($categoryParameter)) {
            throw new BadRequestHttpException();
        }
        $connection = $this->managerRegistry->getConnection();
        // If a category is present we can load only the tree for this specific category
        $categoryPredicate = $categoryParameter ? 'c.identifier = :category' : 'c.parent_id IS NULL';
        $category = $this->esql->__invoke(Category::class);
        $query = &lt;&lt;&lt;SQL
WITH RECURSIVE
    ancestors(identifier, name, parent_id) AS (
        SELECT c.identifier, c.name, c.parent_id FROM category c WHERE {$categoryPredicate}
        UNION ALL
        SELECT c.identifier, c.name, c.parent_id FROM ancestors, category c WHERE c.identifier = ancestors.parent_id
    ),
    descendants(identifier, name, parent_id) AS (
        SELECT c.identifier, c.name, c.parent_id FROM category c WHERE {$categoryPredicate}
        UNION ALL
        SELECT c.identifier, c.name, c.parent_id FROM descendants, category c WHERE c.parent_id = descendants.identifier
    )
SELECT {$category->columns()} FROM ancestors {$category->alias()}
UNION
SELECT {$category->columns()} FROM descendants {$category->alias()}
SQL;        // Use doctrine's executeQuery method, it calls prepare and execute
        $stmt = $connection->executeQuery($query, $categoryParameter ? ['category' => $categoryParameter] : []);
        $data = $stmt->fetchAll();
        $categories = $this->mapper->map($data, Category::class);        // We need to map categories to themselves to obtain a tree
        foreach ($categories as $category) {
            if (null === $category->parent) {
                continue;
            }
            foreach ($categories as $parent) {
                if ($parent->identifier === $category->parent->identifier) {
                    $category->parent = $parent;
                }
            }
        }
        return $categories;
    }
}

<a href="https://soyuka.me/esql-alternative-to-doctrine-query-language-why/" target="_blank" rel="noopener">Découvrez la version originale de cet article ici</a>.&nbsp;



Dans cet article, nous allons vous présenter la bibliothèque ESQL avec un cas d&rsquo;utilisation complexe, illustrant les raisons qui ont motivé sa création.



<h3>Le cas d’usage&nbsp;</h3>



Nous avons une collection de produits appartenant chacun à une catégorie. Notre API utilise le vocabulaire de <a href="https://schema.org/Product" target="_blank" rel="noopener">https://schema.org/Product</a> pour représenter notre produit. La catégorie de ce produit est définie par : « une catégorie pour l&rsquo;article. Des signes « supérieurs à »&nbsp;ou des slashes peuvent être utilisés pour indiquer de manière informelle une hiérarchie de catégories. ».&nbsp;



Nous utilisons <a href="https://api-platform.com/" target="_blank" rel="noopener">API Platform</a> pour la pagination, les filtres ainsi que pour le support du format <a href="https://json-ld.org/" target="_blank" rel="noopener">JSON-LD</a>, complété par la spécification <a href="http://www.hydra-cg.com/spec/latest/core/#api-versions" target="_blank" rel="noopener">Hydra</a>.



<h3>Mise en pratique</h3>



Dans un souci de lisibilité, nous avons supprimé les parties non essentielles du code. <a href="https://github.com/soyuka/api-platform-alice-sf5/tree/product-category-example" target="_blank" rel="noopener">Il est disponible sur Github</a> avec des instructions pour le lancer vous-même. Créons deux entités Doctrine avec d&rsquo;abord la catégorie :&nbsp;





La catégorie a un identifiant, un nom et utilise <a href="https://www.doctrine-project.org/projects/doctrine-orm/en/2.7/reference/association-mapping.html#one-to-many-self-referencing" target="_blank" rel="noopener">une relation OneToMany</a> pour la hiérarchie. Maintenant, pour le produit, nous allons nommer notre relation à la catégorie categoryRelation parce que nous voulons qu’elle soit affichée avec des « slashes (&#8230;) pour indiquer de manière informelle une hiérarchie de catégories » comme le propose le schéma JSON. Comme cette entité est également notre représentation (JS)Object(N) sur l&rsquo;API, nous définirons un champ qui n&rsquo;est pas mappé à Doctrine et un getter qui construit et affiche la hiérarchie des catégories :





Voici l’entité Product :









Le champ&nbsp;<a href="https://schema.org/gtin" target="_blank" rel="noopener">GTIN</a> signifie Global Trade Item Number et représente souvent le code barres du produit. Maintenant que nous avons nos deux entités, nous allons ajouter quelques données de tests et exécuter notre API. Pour cela, nous allons utiliser <a href="https://github.com/hautelook/AliceBundle" target="_blank" rel="noopener">AliceBundle</a> :





Le fichier complet&nbsp;<a href="https://github.com/soyuka/api-platform-alice-sf5/blob/product-category-example/fixtures/products.yaml" target="_blank" rel="noopener">est disponible sur Github</a>. Après le chargement des fixtures (bin/console hautelook:fixtures:load), lancez l&rsquo;API des produits :





<h3>Comprendre la magie derrière Doctrine et API Platform</h3>



Plusieurs choses se font lorsque vous exécutez la requête /api/products.jsonld :



<ul><li role="presentation">Le kernel HTTP de Symfony traite la demande</li><li role="presentation">API Platform reçoit l’information que vous recherchez une collection de produits</li><li role="presentation">Doctrine va chercher la collection et hydrate la classe Product</li><li role="presentation">API Platform va sérialiser les données en utilisant le serializer de Symfony.</li></ul>



Aucun de ces acteurs n&rsquo;a obtenu les informations sur la ressource Category. Rappelez-vous que nous exécutons le code suivant lorsque nous récupérons la catégorie d’un produit :





Ce code est appelé pendant la phase de sérialisation. C&rsquo;est la phase où l&rsquo;objet Product se transforme en JSON. À ce moment-là, la seule information connue par Doctrine est l&rsquo;identifiant categoryRelation. Lorsque vous appelez $category-&gt;name, si Doctrine n&rsquo;a pas cet objet en mémoire, il le récupère dans la base de données. Pour illustrer cela, regardons le profiler de Symfony, depuis l&rsquo;onglet Performance :



<figure class="wp-block-image"><a href="https://soyuka.me/images/2021/01/profiler_performance_doctrine.png" target="_blank" rel="noopener"><img src="https://soyuka.me/images/2021/01/profiler_performance_doctrine.png" alt="Doctrine profiler performance"/></a></figure>



Dans cet exemple, nous avons appelé api/products.jsonld?perPage=100 qui va aller chercher tous les produits. La conséquence ici c’est que Doctrine va créer 8 requêtes supplémentaires, une pour chaque catégorie. Nous pouvons observer ceci depuis l’onglet Doctrine du profiler :&nbsp;



<a href="https://soyuka.me/images/2021/01/profiler_sql_doctrine.png" target="_blank" rel="noopener"><img style="width: 100%;" src="https://soyuka.me/images/2021/01/profiler_sql_doctrine.png" alt="Doctrine profiler performance"></a>8&nbsp;requêtes de recherche de catégories, la requête de collection de produits et une requête count utilisée pour la pagination. Ce comportement est fonctionnel et a même des performances acceptables mais que se passerait-il si, au lieu de n&rsquo;avoir que 8 catégories, nous parlions de hiérarchies complexes d&#8217;employés ou d&rsquo;entreprises ayant des groupes et de nombreuses connexions ? Serait-ce toujours acceptable ?



<h3>Améliorer l’extraction de données</h3>



Si vous connaissez SQL, vous avez probablement entendu parler de Common Table Expression (CTE). Il s&rsquo;agit d&rsquo;un ensemble de résultats temporaires nommés qui, entre autres choses, peuvent être récursifs. C’est donc très utile afin de créer des requêtes hiérarchiques. Par exemple, écrivons une requête de ce type pour récupérer toutes les catégories en utilisant un CTE nommé descendants :





Sur les bases de données Oracle,&nbsp;vous allez préférer utiliser l&rsquo;expression CONNECT BY qui calcule une pseudo-colonne permettant de connaître le niveau en plus de gérer le modèle hiérarchique.



Cette requête nous aiderait à réduire le nombre précédent de 8 requêtes à une seule. Toutefois, API Platform fonctionne avec le langage de requête de doctrine (<a href="https://www.doctrine-project.org/projects/doctrine-orm/en/2.7/reference/dql-doctrine-query-language.html" target="_blank" rel="noopener">DQL</a>) et, à notre connaissance, il n&rsquo;existe pas d&rsquo;implémentation pour les CTE. Nous avons trouvé un <a href="https://www.researchgate.net/publication/332085725_Extending_DQL_with_Recursive_Facilities" target="_blank" rel="noopener">document de recherche</a> et ce <a href="https://github.com/somnambulist-tech/cte-builder" target="_blank" rel="noopener">cte-builder</a> qui peuvent vous aider à ajouter ce CTE avec Doctrine si vous le voulez vraiment, c&rsquo;est tout à fait possible. Nous pourrions utiliser du SQL natif avec Doctrine et cela nécessiterait l&rsquo;utilisation d&rsquo;un ResultSetMapping, la classe qui se trouve derrière le mappage de Doctrine entre les données récupérées (les tableaux) et les classes PHP. Malgré cela, nous perdrions les filtres et la pagination d&rsquo;API Platform car ils fonctionnent également avec le langage de requête de Doctrine.&nbsp;



Une autre possibilité avec Doctrine, est d’utiliser un Nested Set, en utilisant par exemple l’extension <a href="https://github.com/doctrine-extensions/DoctrineExtensions/blob/main/doc/tree.md" target="_blank" rel="noopener">Doctrine Tree</a>.



<h3>ESQL comme alternative&nbsp;</h3>



La bibliothèque <a href="https://github.com/soyuka/esql">ESQL</a> offre un bridge API Platform qui s&rsquo;intègre parfaitement à votre stack actuelle. Ajoutons la bibliothèque au projet :&nbsp;



<code class="language-php">composer require soyuka/esql jane-php/automapper </code>



Chargez les bundles (nous utilisons <a href="https://github.com/janephp/janephp/" target="_blank" rel="noopener">l&rsquo;AutoMapper de JanePHP</a> pour l&rsquo;exemple, un mappeur utilisant le sérialiseur de Symfony est également disponible) :





Ensuite, utilisons le bridge en utilisant l&rsquo;attribut esql :&nbsp;





Rechargez&nbsp;/api/products.jsonld et vous devriez tomber sur une erreur :&nbsp;



<code class="language-php">The property "AppEntityCategory::$name" is not readable because it is typed "string". You should initialize it or declare a default value instead. </code>



C&rsquo;est normal,&nbsp;vérifiez à nouveau l&rsquo;onglet Doctrine du profiler. Nous avons exécuté deux requêtes mais n&rsquo;avons pas récupéré les catégories :



<figure class="wp-block-image"><img src="https://soyuka.me/images/2021/01/profiler_sql_doctrine_esql.png" alt="doctrine queries with esql"/></figure>



Nous les ajouterons nous-mêmes en ajoutant un fournisseur de données. Dans API Platform, un <a href="https://api-platform.com/docs/core/data-providers/" target="_blank" rel="noopener">DataProvider</a> est le principal point d&rsquo;extension lorsqu&rsquo;il s&rsquo;agit d&rsquo;extraire des données. Notre ProductDataProvider se chargera donc :



<ul><li role="presentation">de récupérer les catégories à l&rsquo;aide d&rsquo;un CTE</li><li role="presentation">d&rsquo;utiliser la composition en décorant le DataProvider fourni par ESQL</li></ul>



La&nbsp;déclaration de service est la suivante :





Et voici le ProductDataProvider (regardez les commentaires) :





Et voilà !&nbsp;Essayez d&rsquo;appeler /api/products.jsonld?perPage=100, seules 3 requêtes seront donc exécutées :&nbsp;



<figure class="wp-block-image"><a href="https://soyuka.me/images/2021/01/profiler_sql_esql.png" target="_blank" rel="noopener"><img src="https://soyuka.me/images/2021/01/profiler_sql_esql.png" alt="ESQL queries reduced to 3"/></a></figure>



<h3>Filtre sur les catégories</h3>



Pour aller plus loin, nous allons maintenant ajouter un filtre personnalisé sur ce point de terminaison. La particularité de ce filtre est qu&rsquo;il filtre sur l&rsquo;ensemble de la hiérarchie. Ce qui signifie que :



<ul><li>/api/products.jsonld?category=v renverra tous les produits appartenant aux catégories Vegetables et leurs sous-catégories.</li><li>/api/products.jsonld?category=bagged_salads renverra tous les produits appartenant aux catégories bagged_salads.</li></ul>



Le bridge ESQL fournit une interface nommée QueryCollectionExtensionInterface qui vous permet de modifier la requête SQL originale et de l&rsquo;adapter à vos besoins. Cela préserve la pagination et les filtres déjà disponibles.





Voici la définition du service :&nbsp;





Et voilà,&nbsp;vous avez un filtre hiérarchique, avec des requêtes propres tout en bénéficiant de la pagination et des filtres. Par exemple, appeler l’URL /api/products.jsonld?category=bagged_salads&amp;description=like.*looking* ajoutera une clause product.description LIKE %looking% !



Pour en savoir plus, consultez <a href="https://github.com/soyuka/esql" target="_blank" rel="noopener">ce dépôt</a> sur github ! Cet exemple avec ESQL est également <a href="https://github.com/soyuka/api-platform-alice-sf5/tree/product-category-example-esql" target="_blank" rel="noopener">disponible ici</a> avec des instructions sur la façon de le faire fonctionner.

ESQL, une alternative au DQL

Découvrez la version originale de cet article ici.&nbsp; Dans cet article, nous allons vous présenter la bibliothèque ESQL avec un cas d&rsquo;utilisation complexe, illustrant les raisons qui ont motivé sa création. Le cas d’usage&nbsp; Nous avons une collection de produits appartenant chacun à une catégorie. Notre API utilise le vocabulaire de https://schema.org/Product pour représenter notre [&hellip;]

Quoi de neuf chez Les-Tilleuls.coop ?