Créer une API REST en PHP : renvoyer du JSON

<?php

declare(strict_types=1);

// src/api.php
function repondreJson(mixed $donnees, int $statut = 200, string $type = 'application/json'): never
{
    http_response_code($statut);
    header("Content-Type: $type");
    header('Cache-Control: no-store');
    echo json_encode($donnees, JSON_THROW_ON_ERROR | JSON_UNESCAPED_UNICODE | JSON_UNESCAPED_SLASHES);
    exit;
}

<?php

declare(strict_types=1);

namespace App\Controleur;

use App\Depot\MaterielDepot;
use App\Modele\Materiel;

final class ApiMaterielControleur
{
    public function __construct(private MaterielDepot $depot)
    {
    }

    public function liste(): void
    {
        exigerJetonApi();
        $seulementDisponibles = ($_GET['disponible'] ?? '') === '1';
        $materiels = $this->depot->tous($seulementDisponibles);

        repondreJson(array_map($this->representer(...), $materiels));
    }

    public function fiche(int $id): void
    {
        exigerJetonApi();
        $materiel = $this->depot->trouver($id);
        if ($materiel === null) {
            erreurApi(404, 'Matériel introuvable', "Aucun matériel n'a l'identifiant $id.");
        }

        repondreJson($this->representer($materiel));
    }

    private function representer(Materiel $m): array
    {
        return [
            'id' => $m->id,
            'reference' => $m->reference,
            'libelle' => $m->libelle,
            'categorie' => $m->categorie->value,
            'etat' => $m->etat->value,
            'dateAchat' => $m->dateAchat?->format('Y-m-d'),
            'url' => "/api/materiels/{$m->id}",
        ];
    }
}

{"id":3,"reference":"VP-0001","libelle":"Vidéoprojecteur Epson EB-L210W","categorie":"videoprojecteur","etat":"disponible","dateAchat":"2024-03-02","url":"/api/materiels/3"}

<?php

declare(strict_types=1);

/** Lit le corps JSON de la requête et renvoie un tableau associatif, ou répond par une erreur. */
function lireJson(): array
{
    $type = $_SERVER['CONTENT_TYPE'] ?? '';
    if (!str_starts_with($type, 'application/json')) {
        erreurApi(415, 'Type de contenu non pris en charge', 'Le corps doit être en JSON (Content-Type: application/json).');
    }

    try {
        $donnees = json_decode(file_get_contents('php://input'), true, 32, JSON_THROW_ON_ERROR);
    } catch (JsonException) {
        erreurApi(400, 'JSON invalide', 'Le corps de la requête n\'est pas un JSON valide.');
    }

    if (!is_array($donnees) || ($donnees !== [] && array_is_list($donnees))) {   // [1, 2] est refusé
        erreurApi(400, 'JSON invalide', 'Un objet JSON est attendu.');
    }

    return $donnees;
}

<?php

declare(strict_types=1);

// Route POST /api/emprunts, dans ApiEmpruntControleur, qui reçoit PDO dans son constructeur
public function creer(): void
{
    $utilisateur = exigerJetonApi();
    $donnees = lireJson();

    $erreurs = [];
    $brut = $donnees['idMateriel'] ?? null;
    $idMateriel = is_int($brut) || is_string($brut)
        ? filter_var($brut, FILTER_VALIDATE_INT, ['options' => ['min_range' => 1]])
        : false;
    if ($idMateriel === false) {
        $erreurs['idMateriel'] = 'Identifiant de matériel attendu.';
    }
    $retourPrevu = lireDate($donnees, 'dateRetourPrevue');   // lireDate() : exercice du chapitre 4
    $aujourdhui = new DateTimeImmutable('today');
    if ($retourPrevu === null || $retourPrevu < $aujourdhui || $aujourdhui->diff($retourPrevu)->days > 14) {
        $erreurs['dateRetourPrevue'] = 'Date au format AAAA-MM-JJ, dans les 14 prochains jours.';
    }
    if ($erreurs !== []) {
        erreurApi(422, 'Données invalides', 'Certains champs sont invalides.', ['erreurs' => $erreurs]);
    }

    try {
        $id = emprunter($this->pdo, $idMateriel, $utilisateur['id'], $aujourdhui, $retourPrevu);
    } catch (EmpruntImpossible $e) {
        erreurApi(409, 'Emprunt impossible', $e->getMessage());
    }

    header("Location: /api/emprunts/$id");
    repondreJson([
        'id' => $id,
        'idMateriel' => $idMateriel,
        'dateDebut' => $aujourdhui->format('Y-m-d'),
        'dateRetourPrevue' => $retourPrevu->format('Y-m-d'),
    ], 201);
}

<?php

declare(strict_types=1);

function erreurApi(int $statut, string $titre, string $detail, array $extensions = []): never
{
    repondreJson([
        'type' => 'about:blank',
        'title' => $titre,
        'status' => $statut,
        'detail' => $detail,
        ...$extensions,
    ], $statut, 'application/problem+json');
}

{"type":"about:blank","title":"Emprunt impossible","status":409,"detail":"Ce matériel est déjà prêté."}

CREATE TABLE jeton_api (
  id INT AUTO_INCREMENT PRIMARY KEY,
  id_utilisateur INT NOT NULL,
  empreinte CHAR(64) NOT NULL UNIQUE,
  expire_le DATETIME NOT NULL,
  CONSTRAINT fk_jeton_utilisateur FOREIGN KEY (id_utilisateur) REFERENCES utilisateur (id)
);

<?php

declare(strict_types=1);

function exigerJetonApi(): array
{
    $entete = $_SERVER['HTTP_AUTHORIZATION'] ?? '';
    if (preg_match('/^Bearer ([0-9a-f]{64})$/', $entete, $m) !== 1) {
        header('WWW-Authenticate: Bearer');
        erreurApi(401, 'Authentification requise', 'Jeton absent ou mal formé.');
    }

    $stmt = bdd()->prepare(
        'SELECT u.id, u.nom, u.role
         FROM jeton_api j JOIN utilisateur u ON u.id = j.id_utilisateur
         WHERE j.empreinte = :empreinte AND j.expire_le > NOW()'
    );
    $stmt->execute(['empreinte' => hash('sha256', $m[1])]);
    $utilisateur = $stmt->fetch();

    if ($utilisateur === false) {
        header('WWW-Authenticate: Bearer');
        erreurApi(401, 'Authentification requise', 'Jeton invalide ou expiré.');
    }
    return $utilisateur;
}

<?php

declare(strict_types=1);

const ORIGINES_AUTORISEES = ['https://app.sorbier.example'];

$origine = $_SERVER['HTTP_ORIGIN'] ?? '';
if (in_array($origine, ORIGINES_AUTORISEES, true)) {
    header("Access-Control-Allow-Origin: $origine");
    header('Vary: Origin');
    header('Access-Control-Allow-Headers: Authorization, Content-Type');
    header('Access-Control-Allow-Methods: GET, POST');
}
if ($_SERVER['REQUEST_METHOD'] === 'OPTIONS') {
    http_response_code(204);
    exit;
}

# Liste du matériel disponible (jeton de démonstration dans une variable)
curl -i -H "Authorization: Bearer $JETON" "http://localhost:8000/api/materiels?disponible=1"

# Créer un emprunt
curl -i -X POST http://localhost:8000/api/emprunts \
  -H "Authorization: Bearer $JETON" \
  -H "Content-Type: application/json" \
  -d '{"idMateriel": 1, "dateRetourPrevue": "2026-11-05"}'