# CLEO - Application de gestion de devis

## Vue d'ensemble

CLEO est une application web de gestion de devis développée en PHP 8.3 pour les PME. Elle utilise une architecture MVC classique avec un framework maison appelé "d6".

**Version actuelle** : 2.0.1 (migration complétée le 12 septembre 2025)

## Architecture technique

### Stack technologique
- **Langage** : PHP 8.3
- **Architecture** : MVC (Model-View-Controller)
- **Framework** : Framework maison "d6"
- **Base de données** : MariaDB 11.4
- **Connexion DB** : PDO avec requêtes préparées
- **Configuration** : Variables d'environnement (.env)
- **Gestion des dépendances** : Composer
- **Bibliothèques principales** :
  - PHPMailer 6.8 (envoi d'emails)
  - PHPSpreadsheet 1.28 (export/import Excel)
  - phpseclib 3.0 (fonctions de sécurité)

### Structure des dossiers
```
cleo/
├── config/           # Configuration de l'application
│   ├── conf.php     # Configuration principale (DB, paths, etc.)
│   └── init.php     # Initialisation et définition des constantes
├── controllers/      # Contrôleurs MVC
│   ├── cjx*.php    # Contrôleurs AJAX
│   └── c*.php      # Contrôleurs standards
├── models/          # Modèles de données
├── views/           # Vues et templates
│   └── layouts/     # Layouts réutilisables
├── pub/             # Ressources publiques
│   └── res/
│       └── d6/      # Framework d6
├── vendor/          # Dépendances Composer
└── index.php        # Point d'entrée principal
```

## Fonctionnalités métier

### Modules principaux
1. **Gestion des devis** (`cdevis.php`, `mdevis.php`, `vdevis.php`)
   - Création, modification, duplication de devis
   - Workflow de validation multi-niveaux
   - Historisation des modifications
   - Calcul automatique des marges
   - Gestion des remises par paliers de quantité

2. **Gestion des clients** (`cclients.php`)
   - Base clients avec contacts
   - Segmentation par secteur géographique
   - Types de clients paramétrables
   - Import/export de données

3. **Gestion des marchés** (`cmarches.php`)
   - Catalogue de marchés
   - Association aux devis
   - Visibilité paramétrable par rôle

4. **Administration** (`cusers.php`, `csap.php`)
   - Gestion des utilisateurs
   - Système de rôles et permissions
   - Interface d'administration

### Système de rôles
- **DIR-CO** (Direction commerciale) : Accès complet, vision globale
- **DV** (Directeur des ventes) : Gestion de son équipe de RR
- **RR** (Responsable régional) : Gestion de ses propres devis
- **Admin** (rôle 90) : Administration système

## Base de données

### Architecture actuelle
- **Base unique** : `cleo` sur le container `maria3`
- **Connexion** : PDO avec pattern Singleton
- **Sécurité** : Requêtes préparées systématiques

### Tables principales
- `devis` : Table principale des devis
- `devis_produits` : Lignes de produits des devis
- `devis_histo` : Historique des modifications
- `clients` : Base clients
- `produits` : Catalogue produits
- `produits_familles` : Familles de produits avec marges
- `marches` : Référentiel des marchés
- `users` : Utilisateurs et hiérarchie
- `x_*` : Tables de référence (statuts, types, etc.)
- `y_pages` : Configuration des pages/routes

## Points de sécurité

### Vulnérabilités corrigées (v2.0.1)

✅ **1. Stockage des mots de passe** 
- Credentials externalisés dans `.env`
- Variables d'environnement utilisées systématiquement

✅ **2. Protection contre les injections SQL**
- Migration complète vers PDO
- Requêtes préparées dans la classe `Database`
- Pattern Singleton pour la connexion

✅ **3. Gestion des erreurs sécurisée**
- Classe `Database` avec gestion d'erreurs centralisée
- Logging contrôlé par variables d'environnement
- Mode debug désactivable en production

### Vulnérabilités restantes à traiter

#### 1. Injections SQL résiduelles
- **Localisation** : Certains contrôleurs (`controllers/cjx*.php`)
- **Problème** : Concaténations directes dans certaines requêtes complexes
- **Recommandation** : Audit complet et migration progressive

#### 2. Configuration IP en dur
- **Localisation** : `config/conf.php`
- **Problème** : Certaines IPs encore hardcodées
- **Recommandation** : Migration complète vers `.env`

### Points positifs de sécurité
- Utilisation de `password_hash()` avec bcrypt pour les mots de passe utilisateurs
- Fonction `nettoie_input()` pour la sanitisation des entrées
- Gestion des sessions PHP native
- Contrôle d'accès basé sur les rôles

## Performances et optimisations

### Points d'attention
1. **Requêtes non optimisées** : Pas de pagination visible dans les listes
2. **Absence de cache** : Requêtes répétitives non mises en cache
3. **Chargement des données** : Chargement complet des listes sans limite

### Recommandations
- Implémenter une pagination côté serveur
- Ajouter un système de cache (Redis/Memcached)
- Optimiser les requêtes avec des index appropriés
- Utiliser le lazy loading pour les données volumineuses

## Qualité du code

### Points forts
- Structure MVC claire et cohérente
- Séparation des responsabilités respectée
- Nommage cohérent des fichiers et fonctions
- Utilisation de Composer pour les dépendances

### Axes d'amélioration
1. **Standards PHP modernes**
   - Absence de namespaces
   - Pas d'autoloading PSR-4
   - Manque de typage strict PHP 8.3

2. **Documentation**
   - Peu de commentaires PHPDoc
   - Absence de documentation API
   - Pas de README technique

3. **Tests**
   - Aucun test unitaire visible
   - Pas de tests d'intégration
   - Absence de CI/CD

4. **Gestion des erreurs**
   - Try/catch non systématiques
   - Logging basique via `eLog()`
   - Pas de monitoring applicatif

## Plan d'amélioration recommandé

### Court terme (Sécurité - En cours)
1. ✅ Migrer les credentials vers des variables d'environnement
2. ✅ Remplacer les requêtes SQL par des requêtes préparées (classe Database)
3. ✅ Implémenter une gestion d'erreurs sécurisée
4. ⏳ Auditer et corriger les failles XSS potentielles

### Moyen terme (Qualité et maintenabilité)
1. Migrer vers une structure PSR-4 avec namespaces
2. Implémenter des tests unitaires (PHPUnit)
3. Ajouter une documentation PHPDoc complète
4. Mettre en place un système de logging structuré (Monolog)

### Long terme (Evolution et performance)
1. Considérer la migration vers un framework moderne (Symfony/Laravel)
2. Implémenter une API REST pour découpler front/back
3. Ajouter un système de cache performant
4. Mettre en place un pipeline CI/CD

## Architecture de déploiement

### Environnement DEV (Actuel - IN3)
- **Container `dva-front`** : Application PHP 8.3 + Nginx (Alpine Linux)
  - IP : 13.23.33.42
  - MariaDB : **Supprimé** (12/09/2025)
- **Container `maria3`** : Base de données MariaDB 11.4
  - IP : 13.23.33.4
  - Base : `cleo`

### Environnement PROD (Futur - IN4)
- **Container `nx4`** : Application PHP
- **Container `maria4`** : Base de données

## Conclusion

CLEO v2.0.1 représente une évolution majeure avec la migration réussie vers une architecture sécurisée :
- ✅ Base de données unique et centralisée
- ✅ Connexions PDO avec requêtes préparées
- ✅ Configuration externalisée
- ✅ Séparation application/base de données

Les priorités de sécurité critiques ont été adressées. L'application peut maintenant évoluer sereinement vers des standards plus modernes tout en maintenant sa stabilité opérationnelle.

---

*Document mis à jour le 12 septembre 2025*
*Version 2.0.1 - Post-migration*