Организация действий в админ-панели на PHP

Расширенные примеры реализации действий в админ-панели

Пример 1. Единый обработчик с валидацией и CSRF-защитой

Данный пример демонстрирует полный цикл: генерация CSRF-токена, проверка, выполнение действия и логирование.

// admin.php (с функциями безопасности)
session_start();
if (empty($_SESSION['csrf_token'])) {
    $_SESSION['csrf_token'] = bin2hex(random_bytes(32));
}

function validateCsrf($token) {
    return hash_equals($_SESSION['csrf_token'], $token);
}

function logAction($action, $details = '') {
    $log = date('Y-m-d H:i:s') . ' | ' . $_SERVER['REMOTE_ADDR'] . ' | ' . $action . ' | ' . $details . PHP_EOL;
    file_put_contents('admin.log', $log, FILE_APPEND | LOCK_EX);
}

$action = $_POST['action'] ?? '';
$csrf = $_POST['csrf_token'] ?? '';

if (!$auth->isAdmin() || !validateCsrf($csrf)) {
    logAction('failed_auth', 'IP: ' . $_SERVER['REMOTE_ADDR']);
    die('Ошибка безопасности');
}

switch ($action) {
    case 'delete_article':
        $id = (int)$_POST['id'];
        $stmt = $pdo->prepare('DELETE FROM articles WHERE id = ?');
        $stmt->execute([$id]);
        logAction('delete_article', 'id=' . $id);
        echo json_encode(['status' => 'ok']);
        break;
    // другие действия
}

// Пример вывода результата при успешном удалении:
{"status":"ok"}

Пример 2. Обработка AJAX-действия с загрузкой файла

Позволяет администратору загрузить изображение через форму без перезагрузки страницы.

// upload_ajax.php
if ($_SERVER['REQUEST_METHOD'] !== 'POST') die('Only POST');

$csrf = $_POST['csrf_token'] ?? '';
if (!validateCsrf($csrf)) {
    http_response_code(403);
    echo 'Invalid CSRF';
    exit;
}

$file = $_FILES['image'] ?? null;
if ($file && $file['error'] === UPLOAD_ERR_OK) {
    $allowedTypes = ['image/jpeg', 'image/png', 'image/webp'];
    if (!in_array($file['type'], $allowedTypes)) {
        echo json_encode(['error' => 'Недопустимый тип файла']);
        exit;
    }
    $newName = uniqid() . '_' . basename($file['name']);
    move_uploaded_file($file['tmp_name'], 'uploads/' . $newName);
    echo json_encode(['success' => true, 'filename' => $newName]);
} else {
    echo json_encode(['error' => 'Ошибка загрузки']);
}

// Ответ при успехе:
{"success":true,"filename":"65a1b2c3d4e5_image.jpg"}

Пояснение: файл сохраняется в отдельную директорию, а имя генерируется уникальным для предотвращения коллизий.

Пример 3. Реализация действия 'редактирование' с использованием PDO и транзакции

Показывает безопасное обновление записи с проверкой прав доступа на уровне строки (например, автор статьи).

// edit_action.php
$id = (int)$_GET['id'];
$userId = $auth->getUserId();

$pdo->beginTransaction();
try {
    // проверяем, что статья принадлежит текущему пользователю (или админ может редактировать все)
    $stmt = $pdo->prepare('SELECT user_id FROM articles WHERE id = ? FOR UPDATE');
    $stmt->execute([$id]);
    $article = $stmt->fetch();
    if (!$article || ($article['user_id'] !== $userId && !$auth->isSuperAdmin())) {
        throw new Exception('Доступ запрещён');
    }

    $stmt = $pdo->prepare('UPDATE articles SET title = ?, content = ?, updated_at = NOW() WHERE id = ?');
    $stmt->execute([$_POST['title'], $_POST['content'], $id]);
    $pdo->commit();
    $_SESSION['message'] = 'Изменения сохранены';
    header('Location: list.php');
} catch (Exception $e) {
    $pdo->rollBack();
    $_SESSION['error'] = $e->getMessage();
    header('Location: edit.php?id=' . $id);
}

Пояснение: блокировка строки FOR UPDATE предотвращает одновременное редактирование. Транзакция гарантирует целостность данных.

Пример 4. Групповое действие (например, множественное удаление)

Позволяет администратору отметить несколько записей и выполнить операцию одним запросом.

// batch_delete.php
if (empty($_POST['ids']) || !is_array($_POST['ids'])) {
    die('Не выбрано ни одной записи');
}

$ids = array_map('intval', $_POST['ids']);
$placeholders = implode(',', array_fill(0, count($ids), '?'));

$stmt = $pdo->prepare("DELETE FROM articles WHERE id IN ($placeholders)");
$stmt->execute($ids);

$count = $stmt->rowCount();
logAction('batch_delete', 'Deleted ' . $count . ' articles: ' . implode(',', $ids));
header('Location: list.php?message=deleted_' . $count);

// Пример URL после редиректа:
list.php?message=deleted_3

Пояснение: массив $_POST['ids'] формируется из чекбоксов на странице списка. Подготовленный запрос с динамическим количеством параметров безопасно обрабатывает множество ID.

Пример 5. Логирование действий в базу данных вместо файла

Обеспечивает более удобный поиск и анализ действий.

// logActionDB.php
function logActionDB($pdo, $userId, $action, $details = null) {
    $stmt = $pdo->prepare('INSERT INTO admin_logs (user_id, action, details, ip, created_at) VALUES (?, ?, ?, ?, NOW())');
    $stmt->execute([$userId, $action, $details, $_SERVER['REMOTE_ADDR']]);
}

// Использование в обработчике
logActionDB($pdo, $auth->getUserId(), 'article_created', 'ID: ' . $newArticleId);

// Структура таблицы admin_logs
-- id INT AUTO_INCREMENT PRIMARY KEY,
-- user_id INT,
-- action VARCHAR(100),
-- details TEXT,
-- ip VARCHAR(45),
-- created_at DATETIME

Пояснение: хранение логов в БД позволяет использовать SQL для фильтрации, а также легко подключить интерфейс просмотра истории.