Kiboko au ForumPHP 2019

Toute l’équipe technique s’est rendue à Paris au Forum PHP 2019 organisé par l’AFUP. L’équipe est enthousiaste de vous présenter notre retour d’expérience et les différents sujets qui nous ont marqué.


Présentation de Blackfire

Entre deux conférences, l’équipe a eu le droit à une présentation détaillée de l’outil de profilage Blackfire par Jérome Vieilledent. Depuis plusieurs mois, Kiboko utilise déjà cet outil afin de trouver les optimisations possibles dans le code. Mais cette présentation nous a permis de découvrir les nouveautés de ce profiler, de faire découvrir cette solution à toute l’équipe et également de découvrir certaines fonctionnalités que l’on n’utilisait pas ou très peu.


Darwin et l’agilité

La conférence de François Zaninotto était en réalité menée par un certain professeur « Eugene Fournier » dans le cadre d’un rassemblement d’experts des insectes. L’éminent faux scientifique a expliqué devant son assemblée de confrères pourquoi les entreprises des nouvelles technologies travaillant sur des programmes pour micro-ordinateurs personnels, devraient avoir un comportement proche des insectes.

Pour en arriver à ce raisonnement, le professeur Fournier a étudié le cas curieux d’une de ces « start huppe » (à prononcer à la française) et de ses joyeux employés.

Selon lui, la méthode d’évolution des entreprises, qu’on appelle « agile », accorde trop d’importance aux échecs et réussites des projets, alors que selon Charles Darwin, l’évolution d’une espèce est aléatoire, la sélection naturelle servant à faire le tri entre les espèces qui subsistent ou non. Un talk qui fait réfléchir.

Clément


Se prémunir contre l’imprévisible : une analyse des failles les plus courantes en php

Paul Molin nous a présenté les failles les plus courantes en PHP, de la XSS (Cross Site Scripting), à la SQLi (Injection SQL), en passant par la XXE (XML External Entity), nous avons pu nous rendre compte que l’exploitation de ces failles est relativement aisée, et que même un développeur chevronné pouvait par mégarde introduire dans son code des vecteurs de vulnérabilités.
Bien que la XSS puisse paraitre faible en terme d’impact et de vulnérabilité, elle reste l’une des principales causes de vols de credentials…
Un input mal échappé en front et c’est la XSS assurée, et si l’input à vocation à être sauvegardé en base de Données, la XSS est alors stockée (Stored XSS).

De la même manière, un champ input qui permettrait d’appliquer un filtre sur une liste d’éléments, peut-être la cible d’une attaque de type SQLi, on injecte dans l’input, non pas un filtre tel qu’attendu, mais du code SQL qui peut alors s’exécuter, tout en « annulant » la requête initiale. (ex : 1′ OR ‘1=1) peut permettre de bypasser une page de login.

Sur certains environnements également, il est possible d’interagir avec une ressource par du XML.Le XML peut permettre une attaque de type XXE, où l’attaquant défini une entité XML spécifique qui pourrait être la liste des utilisateurs du server (/etc/passwd), ou même le fichier des mots de pass hashés (/etc/shadow) et ensuite l’injecter dans le formulaire ciblé.

Il nous a démontré que l’imagination des pirates, est illimité… et qu’une petite erreur d’inattention au niveau du code, peut générer de gros dégâts au niveau d’une app.

Maxime


Agressive PHP Quality assurance in 2019

Marco Pivetta, un développeur chevronné, nous a présenté de nombreux outils que l’on peut intégrer à notre workflow de développement web pour limiter les problèmes en production. Le conférencier a notamment insisté sur l’outil PhpStan et Psalm pour détecter des potentiels bugs sans pour autant devoir lancer l’application ce qui en tant que développeur est très rapide et agréable à utiliser.
De plus, nous avons pu voir l’efficacité et la simplicité du security checker de Symfony qui permet de détecter les failles de sécurité dans les applications.

Enfin, Marco Pivetta nous a listé d’autres outils permettant d’assurer la qualité de notre code que l’on peut facilement ajouter à un outil d’intégration continue.

Julien


Résumé

L’équipe a participé à presque toutes les conférences et a bien apprécié le contenu de cette édition. Nous serons de retour en 2020.

Kiboko au ForumPHP 2018

l'équipe Kiboko

Toute l’équipe technique s’est rendue à Paris au Forum PHP 2018 organisé par l’AFUP. L’équipe est enthousiaste de vous présenter notre retour d’expérience et les différents sujets qui nous ont marqué.

l'équipe Kiboko


Sécurité, Bug-Bounty & PHP

En tant que développeurs, nous souhaitons tous développer nos applications de manière sécurisée. Mais qui d’entre nous sécurise de manière fiable ses applications ?

Grâce à une petite application Symfony, Xavier Leune nous a montré que sécuriser son application n’était pas une si mince affaire. Les hackers n’ayant que leur imagination comme limites pour attaquer un site, il est important de penser à un maximum de vecteurs d’attaques possibles.

Xavier Leune, nous a fait la démonstration qu’avec une application qui utilise curl (comme beaucoup), il était aisé de découvrir l’architecture serveur et potentiellement d’en prendre le contrôle. Xavier Leune a également expliqué les raisons de ce qui a poussé CCM Benchmark à ouvrir des Bug Bounty, en partie parce que les développeurs ne sont pas des RSSI(Responsable de la Sécurité des Systèmes d’Information).
Maxime


Sylius

sylius

L’équipe de MonsieurBiz, composée de Jacques Bodin-Hullin et Maxime Huran, nous a présenté leur retour d’expérience de Sylius. Après plusieurs années à utiliser Magento 1 et 2, ils ont décidé de se tourner complètement vers ce nouvel outil e-commerce.

Certes, la courbe d’apprentissage est différente sur ce CMS. Après avoir apprivoisé les notions Symfony essentielles, Sylius permet une souplesse et une personnalisation très avancée.

Côté point forts sur le développement, Sylius permet déjà d’utiliser Symfony 4.1 ce qui permet l’utilisation de bonnes pratiques et des performances accrues par rapport aux autres plateformes. Quelques petites difficultés rencontrées lors de la mise en place d’un mode de livraison spécifique pour un chocolatier, mise à part cela je ne voie pas beaucoup de points négatifs à utiliser et développer sur Sylius.
Xavier


Boostez vos applications avec HTTP/2

Nous avons eu l’occasion lors du talk de Kevin Dunglas de découvrir un nouvel outil : “Mercure”. Il permet de pousser des messages en temps réel, pour qu’une application externe puisse être au courant immédiatement, ce sont les SSE (Server-Side Events).

L’application pousse un message au hub, qui le « redistribue » aux clients.

Kevin nous a proposé un premier exemple d’utilisation : imaginons que sur un site e-commerce un client commande le dernier produit avant la rupture de stock. Dans le même temps un second client un peu moins rapide est aussi sur le point de le commander. Dans un cas d’utilisation habituel, le second client aurait reçu un message d’erreur l’informant de la rupture de stock. Avec mercure, le client pourra être notifié instantanément de la rupture de stock pour ce produit.

Ce n’est qu’un exemple de tout ce qui est possible de faire, imaginons autre chose : Une petite application de sondage où un utilisateur peut voter sur différent sujet. Grâce à Mercure, l’utilisateur peut savoir en temps réel où en est le sondage.

Les points forts du protocole sont la compatibilité avec tout type de serveurs, le support de GraphQL, support le chiffrement, possibilité de restreindre les accès grâce à JWT (JSON Web Tokens)

Le protocole est déja implémenté dans API Platform et intègre le composant Mercure et le bundle Symfony.
Camille


Design patterns

design pattern

Durant le 1er jour du Forum PHP 2018, nous avons pu participer à la conférence de Samuel Roze « Comment j’ai commencé à aimer ce qu’ils appellent design pattern ». Durant ce talk, Samuel Roze nous a démontré pourquoi il est très important de connaître et manipuler correctement les patrons de conception.

Un patron de conception est la meilleure solution connue à un problème de conception récurrent. De ce fait, ils nous permettent de rendre une application beaucoup plus facile à maintenir. C’est pourquoi Samuel Rose nous à incités à beaucoup plus les utiliser notamment celui qu’on appelle le « Décorateur ».
Julien


Machine Learning

Le Machine Learning est l’utilisation de statistiques à partir d’une base de données pour mieux anticiper les besoins ou anticiper des actions futures.

Dans l’exemple de la conférence, le concept de machine learning a été utilisé pour proposer de meilleurs résultats lors de recherches dans l’application. Les développeurs n’avaient pas prévu les mots-clés et synonymes qu’un utilisateur pourrait taper.

Par exemple, un utilisateur pouvait rechercher « mécanicien », même si dans la base de données, il est enregistré « garagiste ». Pour pallier à ce problème, les multiple requêtes ont été enregistrées. Au fur et à mesure que les utilisateurs exécutent les mêmes successions de requêtes, ont peut assumer que les mots entrés sont liés. Au bout de plusieurs itérations, les mots « garagiste », « mécanicien » et « réparateur automobile » font partie du même corpus et donnent les mêmes résultats.

Un autre cas d’utilisation est la reconnaissance de modèle, de motif. Le machine learning n’essaie pas de comprendre des liens mais il établit des corrélations. Selon les articles lus par un utilisateur, on peut lui en proposer des sujets semblables, parce que la machine aura analysé plusieurs articles et saura reconnaitre ceux qui ont la même apparence, le même pattern.

Pour l’entrainer à classer des textes, des images, ou n’importe quel objet, la machine a besoin d’un modèle. Pour cela il faut préalablement catégoriser les objets « à la main » dans une base de données immense, que l’on donne à l’algorithme. A force de dire à l’algorithme quels articles sont « bon » ou « mauvais », il s’efforcera à trouver des points communs insoupçonnables entre les objets d’une même catégorie. Après avoir été nourris de milliers de données, la machine peut avoir un fonctionnement opaque et incompréhensible, même pour ses créateurs. Pourtant, selon l’algorithme utilisé, la classification est habituellement satisfaisante. Mais le Machine Learning ne fait que suivre l’exemple, il est toujours à la merci du jugement humain exercé dans la création du modèle de données.
Clément


Conclusion

Encore un événement AFUP incontournable, nous avons une nouvelle fois apprécié les rencontres, les échanges, les différentes conférences, l’apéro communautaire, les goodies, les confrères… en fait tout ce qui fait le Forum PHP 2018. Un grand merci à tous les organisateurs de cette édition 2018 ! On se donne rendez-vous aux AFUP days le 17 mai 2019 à Lyon.

Weekend OpenGento 2018

Le Week-end Opengento 2018 s’est déroulé du Vendredi 1er juin 2018 au Dimanche 3 juin 2018 !

Cette année, nous nous éloignons de la ville rose pour nous rapprocher du pays de la lentille verte et de la liqueur de verveine !  Nous nous sommes réunis dans la commune d’Allègre à 30 km du Puy-en-Velay. Une vingtaine de développeurs de toute la France (Paris, Lyon, Toulouse, Strasbourg, Béthune…) et même de Suisse et de Belgique se sont réunis durant 3 jours pour un hackathon communautaire et conviviale.

Week-End Opengento - hackathon Magento
Week-End Opengento 2018 Allègre. Le hackathon de la communauté Magento francophone.

Au programme

Au début du weekend, nous avons pu participer à la présentation de plusieurs technologies telles que Front Commerce, OroCommerce & Marello. Mais bien entendu Magento était dans toutes les lèvres avec notamment le rachat récent par Adobe.

Après les retrouvailles et les présentations nous avons pu choisir les différents sujets à traiter durant le weekend ainsi que les intentions de chacun :

Entre apéro, barbecue, match de foot France-Italie (3-1) retransmis sur le vidéo projecteur, petit déjeuner et repas au restaurant, parties de babyfoot ou de rocket league, promenade dans le village, ce weekend fut productif et plusieurs sujets ont pu bien avancer.

Vous retrouverez tout le travail de ce hackaton sur le github d’Opengento avec les dépots suivants :

En images

Conclusion

Comme chaque année, ce fut un réel plaisir de se retrouver avec des développeurs de la communauté Magento. Nous avons pu échanger autour des différents choix techniques, des méthodes de travail de chacun, de la mise en place de la réforme RGPD, des difficultés rencontrés avec Magento 2…

Nous tenons à remercier Aurélia pour nous avoir trouver le gîte et le restaurant, Maxime pour avoir su fédérer et motiver la communauté et bien sûr tous les participants à ce weekend notamment ceux qui ont fait plusieurs heures de route pour venir dans notre belle région.

PhpTour 2018 par Julien

Présentation du forum

Toute l’équipe Kiboko est allée les 17 au 18 Juin 2018 au dernier PhpTour, un événement de deux jours regroupant beaucoup de développeurs  autour du langage Php.

Durant ces deux jours, j’ai eu l’occasion de participer à de nombreuses conférences. Les conférences se déroulaient dans une salle de cinéma, de 9 heures à 18 heures, on ne manquait pas d’informations. Un membre de l’AFUP nous a présenté le PhpTour lors de la Keynote d’ouverture.

Avant de commencer, les conférenciers se présentaient et expliquaient brièvement leurs conférences en 30 secondes, de ce fait les participants du PhpTour pouvaient choisir d’aller dans telle ou telle conférence car deux conférences se déroulaient au même moment dans deux salles différentes du nom de Jarvis et de Morpheus, sous un format allant de 20 à 40 minutes.

Premier jour

Une des premières conférences à laquelle j’ai assisté a été “Retour sur 5 ans de CLI PHP pour importer le catalogue chez Deezer”.

Romain Cottard de Deezer nous a montré la façon dont est géré l’ajout de leur catalogue musical depuis la réception des albums par les maisons de disques jusqu’à la plateforme Deezer. Deezer n’est pas simplement une application Web mais aussi un catalogue disponible sur mobile et autres devices. Romain Cottard nous a montré comment d’une application d’un seul bloc il a réussi à diviser les différents processus de la gestion du catalogue.

« Bienvenue dans la matrice ! »

De par son titre, je m’attendais à quelque chose de complexe en tant que développeur junior, j’ai eu cette appréhension de ne rien comprendre, et bien j’ai eu tort car cette conférence est une de celles que j’ai le plus appréciées. Le conférencier Benoit Jacquemont d’Akeneo a réalisé une démonstration en ligne de commandes pour exécuter une application web, puis à lancé une commande de débogage qui nous a affiché une multitude de lignes incompréhensibles à première vue.
Benoit Jacquemont nous a convaincu d’utiliser cette manière de faire pour déboguer nos applications. En partant de “rien” et en suivant un raisonnement très logique, nous savons maintenant déboguer une application de A à Z.

Avant de manger, je voulais participer à tout prix à la conférence “Tenter de gagner (un peu) sa vie avec un projet open source”. Cette conférence évoquait un retour d’expérience de Nicolas Loeuillet. Il nous a raconté toute son expérience depuis son idée de développer une application mobile payante jusqu’à sa création et sa maintenance ainsi que ses contraintes temporelles.

Pendant la pause de midi, nous avons eu l’occasion d’échanger sur les différentes conférences auxquelles nous avons assisté. L’AFUP organisait un déjeuner chaque matin, de quoi grignoter tous les midis et de goûter à la pause de 4 heures. Tous ces moments permettaient de faire le point sur ce qu’on avait entendu précédemment.

Une des conférences que j’ai le plus apprécié fut “Éthique et macarons”. Laurent Chemla, un des principaux précurseurs d’internet (co-fondateur de Gandi) nous a montré sa vision de l’effet négatif que peut avoir internet aujourd’hui sur le comportement des gens. Il incitait tous les développeurs à réfléchir sur l’effet que leurs applications peuvent avoir sur le comportement des gens avant de les concevoir.

Juste avant de finir cette première journée, les organisateurs ont planifié différents Lightning-talks. Quelques conférenciers présentaient un sujet pendant cinq minutes, souvent des sujets annexes pour se divertir.

Le soir nous sommes allé à l’apéro organisé par l’AFUP au Circus dans le centre de Montpellier.

Pendant cette partie de l’événement, nous avons eu la chance de pouvoir discuter autour de plein de sujets tournant autour du Php, e-commerce… tout en dégustant de nombreux petits plats de charcuterie et de fromages proposé avec une distribution de boissons tout aussi agréable.
Ce passage de nuit m’a permis de découvrir la ville de Montpellier, j’ai d’ailleurs retrouvé une atmosphère très sympathique. Durant cette soirée j’ai eu la chance d’écouter le parcours fort intéressant de Romain Monceau speaker et lead développeur chez Akeneo.

Deuxième jour

Le lendemain, il ne faut pas se le cacher nous étions un peu fatigués. Dès la reprise des conférences, j’ai beaucoup apprécié les différentes conférences car beaucoup d’entre elles évoquaient Symfony, un outil que j’utilise tous les jours depuis le début de mon stage.
J’ai trouvé ça génial de pouvoir assister réellement aux conférences des développeurs de SensioLabs et d’échanger avec les créateurs de Symfony dont Kevin Dunglas.

Pour finir cette journée :

1) “La pire meilleure idée : faire du batch processing avec Doctrine”, était une conférence sur la gestion de grande base de données dans une application. Je l’ai beaucoup apprécié car elle m’a permis de découvrir à quel point les problématiques peuvent changer au cours du temps dans une application.

2) Jouons tous ensemble à un petit jeu. La dernière grosse conférence était en fait une application web créée par Thomas Sieffert. Le principe était de se connecter sur le site en utilisant le QR code avec nos smartphones et on accédait ensuite à un quiz en temps réel, le fait qu’on voyait toutes les personnes connectées et les réponses en temps réel fut très impressionnant.

Ma vision personnelle

Ce fut une première pour moi de participer à un événement de ce type.
Il y avait une super ambiance dans notre équipe ainsi qu’avec les autres participants. En tant que stagiaire, je trouve génial d’avoir participé, cela m’a permis de tisser des liens forts au sein de l’équipe.
Ma participation au PhpTour m’a permis également d’ouvrir ma vision sur le métier de développeur php et de regarder autour de nous comment les autres développeurs peuvent travailler. Ce PhpTour m’a également permis de découvrir des nouvelles technologies, de nouvelles méthodes, et donc d’élargir ma vision de développeur.
J’ai retenu pas mal de choses et je suis très fier d’avoir mangé à côté de développeurs très expérimentés.

Pour conclure, je suis très satisfait de ce séjour montpellierrain et j’ai hâte de participer aux prochains AFUP days avec toute l’équipe Kiboko !!!