Реализация входа в админку PHP: от простого к сложному

Примеры реализации различных методов авторизации

Полноценный скрипт сессионной аутентификации с регистрацией и входом

// register.php
$pdo = new PDO('mysql:host=localhost;dbname=test', 'user', 'pass');
$password = password_hash('admin123', PASSWORD_DEFAULT);
$stmt = $pdo->prepare("INSERT INTO users (login, password, role) VALUES (?, ?, 'admin')");
$stmt->execute(['admin', $password]);

Результат: пользователь admin с ролью admin добавлен.

// после выполнения: добавлена 1 строка в таблицу users

// login.php
session_start();
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    $stmt = $pdo->prepare("SELECT * FROM users WHERE login = ?");
    $stmt->execute([$_POST['login']]);
    $user = $stmt->fetch();
    if ($user && password_verify($_POST['password'], $user['password'])) {
        $_SESSION['user_id'] = $user['id'];
        $_SESSION['user_role'] = $user['role'];
        header('Location: admin/index.php');
        exit;
    } else {
        $error = 'Неверный логин или пароль';
    }
}

// при успехе происходит редирект в /admin/index.php, иначе показывается ошибка

// admin/index.php
session_start();
if (!isset($_SESSION['user_role']) || $_SESSION['user_role'] !== 'admin') {
    header('HTTP/1.0 403 Forbidden');
    exit('Доступ запрещен');
}
echo 'Добро пожаловать в админку';

// Если сессия не установлена или роль не admin, выводится "Доступ запрещен" и код 403

JWT аутентификация с refresh token для API админки

// login.php - создание access и refresh токенов
$key = 'секретный_ключ';
$refreshKey = 'секрет_обновления';
$accessPayload = ['user_id' => 1, 'role' => 'admin', 'exp' => time() + 900];
$accessToken = JWT::encode($accessPayload, $key, 'HS256');
$refreshPayload = ['user_id' => 1, 'exp' => time() + 86400 * 7];
$refreshToken = JWT::encode($refreshPayload, $refreshKey, 'HS256');
// сохраняем refresh token в БД
setcookie('refresh_token', $refreshToken, time()+86400*7, '/', '', true, true);
// возвращаем access token в ответе
echo json_encode(['access_token' => $accessToken]);

// На клиенте получаем JSON: {"access_token": "eyJ..."}

// middleware проверки access token
function checkAdminAccess() {
    $key = 'секретный_ключ';
    if (!isset($_SERVER['HTTP_AUTHORIZATION'])) {
        http_response_code(401);
        exit('Токен отсутствует');
    }
    $token = str_replace('Bearer ', '', $_SERVER['HTTP_AUTHORIZATION']);
    try {
        $decoded = JWT::decode($token, new Key($key, 'HS256'));
        if ($decoded->role !== 'admin') {
            throw new Exception('Недостаточно прав');
        }
        return $decoded;
    } catch (Exception $e) {
        http_response_code(401);
        exit('Токен недействителен');
    }
}

// При запросе к админ-эндпоинту с неправильным токеном вернется 401.

Аутентификация через HTTP Basic с использованием PHP (без .htaccess)

// admin.php
if (!isset($_SERVER['PHP_AUTH_USER']) || !isset($_SERVER['PHP_AUTH_PW'])) {
    header('WWW-Authenticate: Basic realm="Admin"');
    header('HTTP/1.0 401 Unauthorized');
    echo 'Необходима аутентификация';
    exit;
} else {
    $validUser = 'admin';
    $validPassword = 'secret';
    if ($_SERVER['PHP_AUTH_USER'] !== $validUser || $_SERVER['PHP_AUTH_PW'] !== $validPassword) {
        header('WWW-Authenticate: Basic realm="Admin"');
        header('HTTP/1.0 401 Unauthorized');
        echo 'Неверные учетные данные';
        exit;
    }
    echo 'Вы авторизованы как администратор';
}

// Если пользователь нажимает "Отмена" в окне авторизации, возвращается 401.
// При правильных данных отображается "Вы авторизованы как администратор".

Двухфакторная аутентификация с библиотекой OTPHP

// Установка: composer require spomky-labs/otphp
// login.php (двухэтапный процесс)
session_start();
if ($_POST['step'] === 'password') {
    // проверка пароля...
    if (password_verify($_POST['password'], $hash)) {
        $_SESSION['2fa_pending'] = true;
        $_SESSION['user_id'] = $user['id'];
        $_SESSION['2fa_secret'] = $user['otp_secret'];
        // перенаправляем на форму ввода кода
        header('Location: verify_otp.php');
    }
}
// verify_otp.php
$totp = \OTPHP\TOTP::create($_SESSION['2fa_secret']);
if ($totp->verify($_POST['otp'])) {
    $_SESSION['user_role'] = 'admin';
    unset($_SESSION['2fa_pending']);
    header('Location: admin/index.php');
} else {
    $error = 'Неверный код';
}

// При успешном вводе кода открывается админка.