Auteur/autrice : Dimitri Exbrayat

Toute l’équipe technique s’est rendue à Paris au Forum PHP 2019 organisé par l’AFUP. L’équipe est enthousiaste de vous présenter notre retour d’expérience et les différents sujets qui nous ont marqué.

---

Présentation de Blackfire

Entre deux conférences, l’équipe a eu le droit à une présentation détaillée de l’outil de profilage Blackfire par Jérome Vieilledent. Depuis plusieurs mois, Kiboko utilise déjà cet outil afin de trouver les optimisations possibles dans le code. Mais cette présentation nous a permis de découvrir les nouveautés de ce profiler, de faire découvrir cette solution à toute l’équipe et également de découvrir certaines fonctionnalités que l’on n’utilisait pas ou très peu.

---

Darwin et l’agilité

La conférence de François Zaninotto était en réalité menée par un certain professeur « Eugene Fournier » dans le cadre d’un rassemblement d’experts des insectes. L’éminent faux scientifique a expliqué devant son assemblée de confrères pourquoi les entreprises des nouvelles technologies travaillant sur des programmes pour micro-ordinateurs personnels, devraient avoir un comportement proche des insectes.

Pour en arriver à ce raisonnement, le professeur Fournier a étudié le cas curieux d’une de ces « start huppe » (à prononcer à la française) et de ses joyeux employés.

Selon lui, la méthode d’évolution des entreprises, qu’on appelle « agile », accorde trop d’importance aux échecs et réussites des projets, alors que selon Charles Darwin, l’évolution d’une espèce est aléatoire, la sélection naturelle servant à faire le tri entre les espèces qui subsistent ou non. Un talk qui fait réfléchir.

Clément

---

Se prémunir contre l’imprévisible : une analyse des failles les plus courantes en php

Paul Molin nous a présenté les failles les plus courantes en PHP, de la XSS (Cross Site Scripting), à la SQLi (Injection SQL), en passant par la XXE (XML External Entity), nous avons pu nous rendre compte que l’exploitation de ces failles est relativement aisée, et que même un développeur chevronné pouvait par mégarde introduire dans son code des vecteurs de vulnérabilités.
Bien que la XSS puisse paraitre faible en terme d’impact et de vulnérabilité, elle reste l’une des principales causes de vols de credentials…
Un input mal échappé en front et c’est la XSS assurée, et si l’input à vocation à être sauvegardé en base de Données, la XSS est alors stockée (Stored XSS).

De la même manière, un champ input qui permettrait d’appliquer un filtre sur une liste d’éléments, peut-être la cible d’une attaque de type SQLi, on injecte dans l’input, non pas un filtre tel qu’attendu, mais du code SQL qui peut alors s’exécuter, tout en « annulant » la requête initiale. (ex : 1′ OR ‘1=1) peut permettre de bypasser une page de login.

Sur certains environnements également, il est possible d’interagir avec une ressource par du XML.Le XML peut permettre une attaque de type XXE, où l’attaquant défini une entité XML spécifique qui pourrait être la liste des utilisateurs du server (/etc/passwd), ou même le fichier des mots de pass hashés (/etc/shadow) et ensuite l’injecter dans le formulaire ciblé.

Il nous a démontré que l’imagination des pirates, est illimité… et qu’une petite erreur d’inattention au niveau du code, peut générer de gros dégâts au niveau d’une app.

Maxime

---

Agressive PHP Quality assurance in 2019

Marco Pivetta, un développeur chevronné, nous a présenté de nombreux outils que l’on peut intégrer à notre workflow de développement web pour limiter les problèmes en production. Le conférencier a notamment insisté sur l’outil PhpStan et Psalm pour détecter des potentiels bugs sans pour autant devoir lancer l’application ce qui en tant que développeur est très rapide et agréable à utiliser.
De plus, nous avons pu voir l’efficacité et la simplicité du security checker de Symfony qui permet de détecter les failles de sécurité dans les applications.

Enfin, Marco Pivetta nous a listé d’autres outils permettant d’assurer la qualité de notre code que l’on peut facilement ajouter à un outil d’intégration continue.

Julien

---

Résumé

L’équipe a participé à presque toutes les conférences et a bien apprécié le contenu de cette édition. Nous serons de retour en 2020.

Toute l’équipe technique s’est rendue à Paris au Forum PHP 2018 organisé par l’AFUP. L’équipe est enthousiaste de vous présenter notre retour d’expérience et les différents sujets qui nous ont marqué.

---

Sécurité, Bug-Bounty & PHP

En tant que développeurs, nous souhaitons tous développer nos applications de manière sécurisée. Mais qui d’entre nous sécurise de manière fiable ses applications ?

Grâce à une petite application Symfony, Xavier Leune nous a montré que sécuriser son application n’était pas une si mince affaire. Les hackers n’ayant que leur imagination comme limites pour attaquer un site, il est important de penser à un maximum de vecteurs d’attaques possibles.

Xavier Leune, nous a fait la démonstration qu’avec une application qui utilise curl (comme beaucoup), il était aisé de découvrir l’architecture serveur et potentiellement d’en prendre le contrôle. Xavier Leune a également expliqué les raisons de ce qui a poussé CCM Benchmark à ouvrir des Bug Bounty, en partie parce que les développeurs ne sont pas des RSSI(Responsable de la Sécurité des Systèmes d’Information).
Maxime

---

Sylius

L’équipe de MonsieurBiz, composée de Jacques Bodin-Hullin et Maxime Huran, nous a présenté leur retour d’expérience de Sylius. Après plusieurs années à utiliser Magento 1 et 2, ils ont décidé de se tourner complètement vers ce nouvel outil e-commerce.

Certes, la courbe d’apprentissage est différente sur ce CMS. Après avoir apprivoisé les notions Symfony essentielles, Sylius permet une souplesse et une personnalisation très avancée.

Côté point forts sur le développement, Sylius permet déjà d’utiliser Symfony 4.1 ce qui permet l’utilisation de bonnes pratiques et des performances accrues par rapport aux autres plateformes. Quelques petites difficultés rencontrées lors de la mise en place d’un mode de livraison spécifique pour un chocolatier, mise à part cela je ne voie pas beaucoup de points négatifs à utiliser et développer sur Sylius.
Xavier

---

Boostez vos applications avec HTTP/2

Nous avons eu l’occasion lors du talk de Kevin Dunglas de découvrir un nouvel outil : “Mercure”. Il permet de pousser des messages en temps réel, pour qu’une application externe puisse être au courant immédiatement, ce sont les SSE (Server-Side Events).

L’application pousse un message au hub, qui le « redistribue » aux clients.

Kevin nous a proposé un premier exemple d’utilisation : imaginons que sur un site e-commerce un client commande le dernier produit avant la rupture de stock. Dans le même temps un second client un peu moins rapide est aussi sur le point de le commander. Dans un cas d’utilisation habituel, le second client aurait reçu un message d’erreur l’informant de la rupture de stock. Avec mercure, le client pourra être notifié instantanément de la rupture de stock pour ce produit.

Ce n’est qu’un exemple de tout ce qui est possible de faire, imaginons autre chose : Une petite application de sondage où un utilisateur peut voter sur différent sujet. Grâce à Mercure, l’utilisateur peut savoir en temps réel où en est le sondage.

Les points forts du protocole sont la compatibilité avec tout type de serveurs, le support de GraphQL, support le chiffrement, possibilité de restreindre les accès grâce à JWT (JSON Web Tokens)

Le protocole est déja implémenté dans API Platform et intègre le composant Mercure et le bundle Symfony.
Camille

---

Design patterns

Durant le 1er jour du Forum PHP 2018, nous avons pu participer à la conférence de Samuel Roze « Comment j’ai commencé à aimer ce qu’ils appellent design pattern ». Durant ce talk, Samuel Roze nous a démontré pourquoi il est très important de connaître et manipuler correctement les patrons de conception.

Un patron de conception est la meilleure solution connue à un problème de conception récurrent. De ce fait, ils nous permettent de rendre une application beaucoup plus facile à maintenir. C’est pourquoi Samuel Rose nous à incités à beaucoup plus les utiliser notamment celui qu’on appelle le « Décorateur ».
Julien

---

Machine Learning

Le Machine Learning est l’utilisation de statistiques à partir d’une base de données pour mieux anticiper les besoins ou anticiper des actions futures.

Dans l’exemple de la conférence, le concept de machine learning a été utilisé pour proposer de meilleurs résultats lors de recherches dans l’application. Les développeurs n’avaient pas prévu les mots-clés et synonymes qu’un utilisateur pourrait taper.

Par exemple, un utilisateur pouvait rechercher « mécanicien », même si dans la base de données, il est enregistré « garagiste ». Pour pallier à ce problème, les multiple requêtes ont été enregistrées. Au fur et à mesure que les utilisateurs exécutent les mêmes successions de requêtes, ont peut assumer que les mots entrés sont liés. Au bout de plusieurs itérations, les mots « garagiste », « mécanicien » et « réparateur automobile » font partie du même corpus et donnent les mêmes résultats.

Un autre cas d’utilisation est la reconnaissance de modèle, de motif. Le machine learning n’essaie pas de comprendre des liens mais il établit des corrélations. Selon les articles lus par un utilisateur, on peut lui en proposer des sujets semblables, parce que la machine aura analysé plusieurs articles et saura reconnaitre ceux qui ont la même apparence, le même pattern.

Pour l’entrainer à classer des textes, des images, ou n’importe quel objet, la machine a besoin d’un modèle. Pour cela il faut préalablement catégoriser les objets « à la main » dans une base de données immense, que l’on donne à l’algorithme. A force de dire à l’algorithme quels articles sont « bon » ou « mauvais », il s’efforcera à trouver des points communs insoupçonnables entre les objets d’une même catégorie. Après avoir été nourris de milliers de données, la machine peut avoir un fonctionnement opaque et incompréhensible, même pour ses créateurs. Pourtant, selon l’algorithme utilisé, la classification est habituellement satisfaisante. Mais le Machine Learning ne fait que suivre l’exemple, il est toujours à la merci du jugement humain exercé dans la création du modèle de données.
Clément

---

Conclusion

Encore un événement AFUP incontournable, nous avons une nouvelle fois apprécié les rencontres, les échanges, les différentes conférences, l’apéro communautaire, les goodies, les confrères… en fait tout ce qui fait le Forum PHP 2018. Un grand merci à tous les organisateurs de cette édition 2018 ! On se donne rendez-vous aux AFUP days le 17 mai 2019 à Lyon.

Premier Jour

Le 24 et 25 mai 2018 se déroulait la dernière édition du PHP Tour.

Étant stagiaire chez Kiboko, je n’imaginais pas avoir la chance de pouvoir me rendre à ce genre d’événement. Après 5h de voiture, nous voilà au Gaumont Odysseum, à Montpellier, qui a été réquisitionné pour l’occasion.

Après une razzia sur les stands des sponsors, c’est le sac pleins de goodies que nous assistons à la première conférence de la journée.

Nikolas Grekas nous explique comment Symfony 4 a pu tirer le maximum du potentiel du moteur de PHP7.

Arrive ensuite Jean Pasdeloup et Romain Cottard, qui nous résument 5 ans d’évolution de l’import du catalogue Deezer.

Puis vient la conférence qui pour moi a été la plus intéressante de la journée :

“Bienvenue dans la matrice !” de Benoit Jacquemont, qui travaille chez Akeneo. Il nous montre différents outils systèmes qui peuvent nous permettre d’intercepter et d’analyser les échanges entre les processus et le noyau Linux.

Une conférence technique, mais Benoît, très pédagogue, a su bien vulgariser ce qui se passait derrière un programme, comment les processus interagissaient entre eux, et comment trouver des solutions à des problèmes qui semblent à première vue très compliqués à résoudre.

Moi qui avais une vision très surfaite de comment fonctionnait un programme, j’ai pu grâce à cette conférence acquérir une vision un peu plus globale de la “Matrice”.

Nous découvrons peu de temps après le Speak de Nicolas Loeuillet, qui nous présente son projet, Wallabang, et son retour d’expérience sur le parcours qu’il a effectué lors de cette aventure. Il répond également à la fameuse question : Peut-on gagner sa vie avec un projet Open-source?

La réponse? Ça semble à première vue compliqué, mais pas forcément impossible.

La pause

Petite pause déjeuner, histoire de reprendre des forces pour l’après-midi, puis compétition inter-entreprise de BabyFoot, où nous avons malheureusement dû nous incliner face à l’adversité.

14h00 : reprise des hostilités avec Joel Wurtz, qui nous explique comment faire de l’asynchrone avec PhP de manière simple, sans finir avec le cerveau qui fume, et surtout sans callbacks (Et oui c’est possible !).

C’est à ce moment de la journée que j’ai du faire le choix cornélien, entre la conférence “Un autre regard sur la validation” de Quentin Pautrat, et “CQRS, Fonctionnel, Event Sourcing & DDD (Domain Driven Design)” d’Arnaud Lemaire.

J’ai fini par choisir le speak d’Arnaud car je ne connaissais aucun des concepts énoncés ci-dessus.

Au programme beaucoup de théories sur des concepts architecturaux assez complexes, à une cadence très soutenue (environ une centaine de slides en 40 minutes, autant dire qu’il fallait s’accrocher, surtout après avoir bien mangé).

Mais le sujet était plus qu’intéressant et permettait d’entrevoir différentes approches d’un projet, de choisir la bonne manière d’organiser son code suivant le besoin, et surtout d’expliquer des concepts qui peuvent paraître très nébuleux aux premiers abords.

Un peu d’Ethique

Enfin, pour finir cette belle journée, Laurent Chemla nous a proposé une conférence-débat sur un sujet plus que polémique en ce moment, j’ai nommé : Le respect de la vie privée,  et plus particulièrement la responsabilité des développeurs par rapport à celle-ci.

Merci @laurentchemla ! Une conférence pleine d'espoir. Et de macarons. #phptour /cc @afup pic.twitter.com/FjxhZLmJiC

— Jacques Bodin-Hullin (@jacquesbh) May 17, 2018

Et en plus il distribuait des macarons.

Apéro communautaire

Consommations offertes par l’Afup, ça c’est cool.

Deuxième jour

Lever à 8 heures, on attaque avec Kévin Dunglas , que je suis sur les réseaux sociaux déjà depuis un bon moment.

Il nous montre les différences entre les architectures REST et GraphQL, l’alternative proposée par Facebook. Démonstrations à l’appui, il nous explique les avantages, les inconvénients, le tout à travers son framework : Api Platform.

Toujours au top, des explications toujours clairs, un vrai plaisir d’assister à ses talks.

Caching with PSRS

Hannes Van De Vreken nous présente ici les différences entre le PSR-6 et le PSR-16, comment le mettre en place sur nos  applications, et chose très importante :  Comment bien gérer son cache.

Petite pause

On fait le plein de café et de viennoiseries, et on y retourne !

Un peu d’événements dans un monde linéaire

Une autre de mes conventions préférées, car la gestion des événements a longtemps été un concept assez abstrait pour moi, et Julien Vinber a su éclairer les choses grâce à des exemples très complets.

Il nous montre aussi les différences entre la gestion d’événements synchrones et asynchrones (RabbitMQ)

Et pour la fin…

Et pour finir ce PHP tour, on se retrouve avec Romain Monceau qui nous présente son retour d’expérience de l’utilisation de doctrine pour traiter des processus lourds, de type import de gros volumes de données et des problèmes qui en découlent à travers un exemple qui nous parlera à tous :

L’import d’un immense catalogue de bières dans notre base de données !

A travers cet exemple léger, on a pu voir que changer notre manière de développer peut apporter d’énormes gains de performance, ce qui sur de gros volumes peut nous faire gagner un temps précieux.

Ma vision de ce tour

C’est le premier événement de ce genre auquel j’assiste et sûrement pas le dernier. Outre les conférences toutes très intéressantes, ce que j’ai préféré dans ce tour, c’est de pouvoir rencontrer et de surcroit échanger avec d’autres développeurs qui ont pour la plupart beaucoup plus d’expériences que moi, et de voir à quel niveau ils ont pu arriver et surtout l’ampleur des projets qu’ils entreprennent .