MVC en PHP sans framework : front controller et routeur

pretmat/
├── public/                 ← racine du site (document root) : la seule partie accessible
│   ├── index.php           ← le contrôleur frontal
│   ├── .htaccess           ← redirige toutes les requêtes vers index.php (Apache)
│   ├── css/style.css
│   └── js/
├── src/                    ← le code PHP, espace de noms App\
│   ├── Controleur/
│   │   ├── AuthControleur.php
│   │   └── MaterielControleur.php
│   ├── Depot/
│   │   └── MaterielDepot.php
│   ├── Modele/
│   │   ├── Categorie.php
│   │   ├── EtatMateriel.php
│   │   └── Materiel.php
│   ├── Routeur.php
│   ├── bootstrap.php
│   └── fonctions.php       ← e(), flash(), rediriger(), rendre(), CSRF, authentification
├── templates/              ← les vues
│   ├── gabarit.php
│   └── materiels/
│       ├── liste.php
│       ├── fiche.php
│       └── formulaire.php
├── config/
│   └── config.php          ← lit la configuration (chapitre 15)
├── var/
│   ├── log/                ← journaux de l'application
│   └── uploads/            ← photos déposées (chapitre 13)
├── sql/pretmat.sql
├── vendor/                 ← généré par Composer, non versionné
├── .env                    ← secrets, jamais versionné
├── composer.json
└── compose.yaml

<?php

declare(strict_types=1);

// public/index.php
use App\Controleur\AuthControleur;
use App\Controleur\MaterielControleur;
use App\Depot\MaterielDepot;
use App\Routeur;

// Serveur intégré de PHP : laisser servir directement les fichiers existants (CSS, images)
if (PHP_SAPI === 'cli-server' && is_file(__DIR__ . parse_url($_SERVER['REQUEST_URI'], PHP_URL_PATH))) {
    return false;
}

require __DIR__ . '/../vendor/autoload.php';
require __DIR__ . '/../src/bootstrap.php';   // configuration, gestion des erreurs, session, fonctions

// En-têtes de sécurité, pour toutes les réponses (chapitre 5)
header("Content-Security-Policy: default-src 'self'; object-src 'none'; base-uri 'self'; frame-ancestors 'none'");
header('X-Content-Type-Options: nosniff');
header('Referrer-Policy: same-origin');

$methode = $_SERVER['REQUEST_METHOD'];
$chemin = parse_url($_SERVER['REQUEST_URI'], PHP_URL_PATH) ?: '/';

// Toutes les requêtes POST des pages web vérifient le jeton CSRF, ici et nulle part ailleurs.
// L'API JSON (chapitre 14) s'authentifie autrement.
if ($methode === 'POST' && !str_starts_with($chemin, '/api/')) {
    verifierCsrf();
}

$materiels = new MaterielControleur(new MaterielDepot(bdd()));
$auth = new AuthControleur(bdd());

$routeur = new Routeur();
$routeur->get('/', fn() => rediriger('/materiels'));
$routeur->get('/connexion', $auth->formulaire(...));
$routeur->post('/connexion', $auth->connecter(...));
$routeur->post('/deconnexion', $auth->deconnecter(...));
$routeur->get('/materiels', $materiels->liste(...));
$routeur->get('/materiels/nouveau', $materiels->formulaireAjout(...));
$routeur->post('/materiels', $materiels->ajouter(...));
$routeur->get('/materiels/{id}', $materiels->fiche(...));
$routeur->get('/materiels/{id}/modifier', $materiels->formulaireModification(...));
$routeur->post('/materiels/{id}/modifier', $materiels->modifier(...));
$routeur->post('/materiels/{id}/supprimer', $materiels->supprimer(...));

$routeur->traiter($methode, $chemin);

<?php

declare(strict_types=1);

// src/Routeur.php
namespace App;

use Closure;

final class Routeur
{
    /** @var list<array{string, string, Closure}> */
    private array $routes = [];

    public function get(string $motif, Closure $action): void
    {
        $this->routes[] = ['GET', $motif, $action];
    }

    public function post(string $motif, Closure $action): void
    {
        $this->routes[] = ['POST', $motif, $action];
    }

    public function traiter(string $methode, string $chemin): void
    {
        $methodesPermises = [];

        foreach ($this->routes as [$methodeRoute, $motif, $action]) {
            // '/materiels/{id}' devient '#^/materiels/(?<id>\d+)$#'
            $regex = '#^' . preg_replace('#\{(\w+)\}#', '(?<$1>\d+)', $motif) . '$#';
            if (preg_match($regex, $chemin, $correspondances) !== 1) {
                continue;
            }
            if ($methodeRoute !== $methode) {
                $methodesPermises[] = $methodeRoute;
                continue;
            }
            // Ne garder que les groupes nommés, convertis en entiers : ['id' => 4]
            $parametres = array_map(intval(...), array_filter($correspondances, is_string(...), ARRAY_FILTER_USE_KEY));
            $action(...$parametres);
            return;
        }

        if ($methodesPermises !== []) {
            http_response_code(405);
            header('Allow: ' . implode(', ', $methodesPermises));
            echo rendre('erreur', ['titre' => 'Méthode non autorisée']);
            return;
        }

        http_response_code(404);
        echo rendre('erreur', ['titre' => 'Page introuvable']);
    }
}

<?php

declare(strict_types=1);

// src/Controleur/MaterielControleur.php
namespace App\Controleur;

use App\Depot\MaterielDepot;
use PDOException;

final class MaterielControleur
{
    public function __construct(private MaterielDepot $depot)
    {
    }

    public function fiche(int $id): void
    {
        $utilisateur = exigerConnexion();

        $materiel = $this->depot->trouver($id);
        if ($materiel === null) {
            http_response_code(404);
            echo rendre('erreur', ['titre' => 'Matériel introuvable']);
            return;
        }

        echo rendre('materiels/fiche', [
            'titre' => $materiel->reference,
            'materiel' => $materiel,
            'historique' => $this->depot->historique($id),
            'estGestionnaire' => $utilisateur['role'] === 'gestionnaire',
        ]);
    }

    public function formulaireAjout(): void
    {
        exigerRole('gestionnaire');
        echo rendre('materiels/formulaire', [
            'titre' => 'Ajouter un matériel',
            'action' => '/materiels',
            'saisie' => [],
            'erreurs' => [],
        ]);
    }

    public function ajouter(): void
    {
        exigerRole('gestionnaire');
        ['valeurs' => $valeurs, 'erreurs' => $erreurs] = validerMateriel($_POST);

        if ($erreurs === []) {
            try {
                $id = $this->depot->ajouter($valeurs);
                flash('succes', "Le matériel {$valeurs['reference']} a été ajouté.");
                rediriger("/materiels/$id");
            } catch (PDOException $e) {
                if (($e->errorInfo[1] ?? null) !== 1062) {
                    throw $e;
                }
                $erreurs['reference'] = 'Cette référence est déjà utilisée.';
            }
        }

        echo rendre('materiels/formulaire', [
            'titre' => 'Ajouter un matériel',
            'action' => '/materiels',
            'saisie' => $_POST,
            'erreurs' => $erreurs,
        ]);
    }

    // liste(), formulaireModification(), modifier(), supprimer() : même principe
}

<?php

function rediriger(string $url): never
{
    header("Location: $url", true, 303);
    exit;
}

<?php

declare(strict_types=1);

// src/fonctions.php (extrait)
function rendre(string $vue, array $donnees = []): string
{
    extract($donnees, EXTR_SKIP);   // ['titre' => …] devient la variable $titre

    ob_start();
    require __DIR__ . "/../templates/$vue.php";
    $contenu = ob_get_clean();

    ob_start();
    require __DIR__ . '/../templates/gabarit.php';
    return ob_get_clean();
}

<?php
// templates/gabarit.php : attend $titre et $contenu
$connecte = utilisateurConnecte();
?>
<!DOCTYPE html>
<html lang="fr">
<head>
  <meta charset="utf-8">
  <meta name="viewport" content="width=device-width, initial-scale=1">
  <title><?= e($titre) ?> | Prêtmat</title>
  <link rel="stylesheet" href="/css/style.css">
</head>
<body>
  <header>
    <a href="/materiels">Prêtmat</a>
    <?php if ($connecte !== null): ?>
      <span><?= e($connecte['nom']) ?></span>
      <form method="post" action="/deconnexion"><?= champCsrf() ?><button>Se déconnecter</button></form>
    <?php endif; ?>
  </header>
  <main>
    <?php foreach (flashes() as $f): ?>
      <p class="alerte alerte-<?= e($f['type']) ?>" role="status"><?= e($f['message']) ?></p>
    <?php endforeach; ?>
    <?= $contenu ?>
  </main>
</body>
</html>

<?php
// templates/materiels/fiche.php : attend $materiel, $historique, $estGestionnaire
?>
<h1><?= e($materiel->reference) ?> : <?= e($materiel->libelle) ?></h1>
<p>Catégorie : <?= e($materiel->categorie->libelle()) ?></p>
<p>Achat : <?= e($materiel->dateAchat?->format('d/m/Y') ?? 'date inconnue') ?></p>

<?php if ($estGestionnaire): ?>
  <a href="/materiels/<?= e($materiel->id) ?>/modifier">Modifier</a>
  <form method="post" action="/materiels/<?= e($materiel->id) ?>/supprimer">
    <?= champCsrf() ?>
    <button>Supprimer</button>
  </form>
<?php endif; ?>