// on applique les deux fonctions mysqli_real_escape_string et htmlspecialchars
    // pour éliminer toute attaque de type injection SQL et XSS
    $username = mysqli_real_escape_string($db,htmlspecialchars($_POST['username']));
    $password = mysqli_real_escape_string($db,htmlspecialchars($_POST['password']));
    $admin = mysqli_real_escape_string($db,htmlspecialchars($_POST['admin'])); // Code rajouté pour ADMIN

    /**
     * à aucun moment tu ne te sers de $admin
     * je pense que si tu veux utiliser le boolen admin, le mieux c'est d'avoir une seule table utilisateur dans laquelle
     * sont mélangées admin et user normal
     * et tu devrais tester du coup si le booleen est true|false pour savoir si l'utilsateur qui se loggue est un admin ou non
     */
    if($username !== "" && $password !== "")
    {
        //requete user normal
        $requete = "SELECT count(*) FROM utilisateur where NNI = '".$username."' and MotDePasse = '".$password."'";
        $exec_requete = mysqli_query($db,$requete);
        $reponse = mysqli_fetch_array($exec_requete);
        $countNormal = $reponse['count(*)'];

        //afficher le nombre d'utilisateur normaux
        var_dump('user normaux', $countNormal);

        //faire la redirection direction si c'est bon ---> pas la peine de tester si c'est un admin
        if ($countNormal > 0) {
            die('faire redirection page user normal');
        }

        //
        $requeteAdmin = "SELECT count(*) admin FROM utilisateur where NNI = '".$username."' and MotDePasse = '".$password."'";
        $exec_requeteAdmin = mysqli_query($db,$requeteAdmin);
        $reponseAdmin = mysqli_fetch_array($exec_requeteAdmin);
        $countAdmin = $reponseAdmin['count(*)'];
        var_dump('user admin', $countAdmin);

        if ($countAdmin > 0) {
            die('faire redirection page user admin');
        }