# Laravel Breeze : scaffolding d'authentification classique (sessions, cookies)
composer require laravel/breeze --dev
php artisan breeze:install blade    # ou vue / react / api selon le frontend
php artisan migrate
npm install && npm run build

# Laravel Sanctum : tokens API + authentification SPA (cookies stateful pour SPA du même domaine)
composer require laravel/sanctum
php artisan vendor:publish --provider="Laravel\Sanctum\SanctumServiceProvider"
php artisan migrate

<?php
// app/Models/User.php : le trait HasApiTokens ajoute les capacités Sanctum
namespace App\Models;

use Illuminate\Foundation\Auth\User as Authenticatable;
use Laravel\Sanctum\HasApiTokens;
use Illuminate\Database\Eloquent\Factories\HasFactory;
use Illuminate\Notifications\Notifiable;

class User extends Authenticatable {
    use HasApiTokens, HasFactory, Notifiable;

    protected $fillable = ['nom', 'email', 'password'];
    protected $hidden = ['password', 'remember_token']; // jamais sérialisés en JSON

    protected function casts(): array {
        return ['password' => 'hashed']; // hash automatique à l'assignation (bcrypt)
    }
}

// Contrôleur de connexion API : génère un token personnel
namespace App\Http\Controllers\Auth;

use App\Models\User;
use Illuminate\Http\Request;
use Illuminate\Validation\ValidationException;

class AuthTokenController extends Controller {
    public function login(Request $request) {
        $credentials = $request->validate([
            'email' => ['required', 'email'],
            'password' => ['required'],
        ]);

        $user = User::where('email', $credentials['email'])->first();

        if (!$user || !\Hash::check($credentials['password'], $user->password)) {
            throw ValidationException::withMessages([
                'email' => ['Identifiants invalides.'],
            ]);
        }

        // Token avec abilities (scopes) limitées : ce token ne peut que lire
        $token = $user->createToken('mobile-app', ['produits:lire'])->plainTextToken;

        return response()->json(['token' => $token]);
    }

    public function logout(Request $request) {
        $request->user()->currentAccessToken()->delete();
        return response()->noContent();
    }
}

<?php
// routes/api.php : protéger les routes avec le middleware Sanctum
Route::middleware('auth:sanctum')->group(function () {
    Route::get('/moi', fn (Request $request) => $request->user());

    // Vérifier une ability spécifique dans un contrôleur ou middleware
    Route::post('/produits', [ProduitController::class, 'store'])
        ->middleware('abilities:produits:ecrire');
});

<?php
// Policies : autorisation fine par modèle (app/Policies/ProduitPolicy.php)
namespace App\Policies;

use App\Models\{User, Produit};

class ProduitPolicy {
    public function update(User $user, Produit $produit): bool {
        return $user->id === $produit->createur_id || $user->hasRole('admin');
    }

    public function delete(User $user, Produit $produit): bool {
        return $user->hasRole('admin');
    }
}

// Utilisation : $this->authorize('update', $produit); dans un contrôleur
// ou @can('update', $produit) dans une vue Blade