Организация админки PHP: от простого index.php до защищенного интерфейса

Расширенные примеры и нестандартные приёмы

Рассмотрим более детальные реализации, включая обработку нескольких уровней доступа, логирование действий администратора и защиту от подбора пароля в админке.

Пример 1. Админка с несколькими ролями и динамической маршрутизацией

Если требуется разграничение прав (модератор, редактор, администратор), можно добавить проверку роли внутри действий. Используем единый index.php с массивом разрешений.

<?php
session_start();

// Определяем уровни доступа
$roles = [
    'admin' => ['dashboard', 'users', 'settings', 'logs'],
    'editor' => ['dashboard', 'content'],
    'moderator' => ['dashboard', 'comments']
];

$user_role = $_SESSION['role'] ?? 'guest';
$action = $_GET['action'] ?? 'dashboard';

// Проверяем, есть ли у роли доступ к action
if (!isset($roles[$user_role]) || !in_array($action, $roles[$user_role])) {
    http_response_code(403);
    echo 'Недостаточно прав';
    exit;
}

$file = __DIR__ . '/modules/' . $action . '.php';
if (file_exists($file)) {
    include $file;
} else {
    echo 'Модуль не найден';
}

Результат: пользователь с ролью moderator не сможет открыть ?action=settings - получит 403.

Пример 2. Логирование действий администратора в файл

Для аудита полезно записывать каждое действие с меткой времени, IP и ID пользователя.

<?php
function log_admin_action($action, $details = '') {
    $log_entry = sprintf(
        "[%s] User %d (IP: %s) performed '%s' - %s\n",
        date('Y-m-d H:i:s'),
        $_SESSION['user_id'] ?? 0,
        $_SERVER['REMOTE_ADDR'],
        $action,
        $details
    );
    file_put_contents(__DIR__ . '/logs/admin_actions.log', $log_entry, FILE_APPEND | LOCK_EX);
}

// Вызов после успешного действия
log_admin_action('delete_user', 'User ID: 42');

Результат: в файле admin_actions.log появится строка с информацией. Важно настроить ротацию логов, чтобы файл не разросся.

Пример 3. Использование хеша пароля и задержки при неудачном входе в админку

Для защиты от брутфорса можно ввести задержку после каждой неудачной попытки входа.

<?php
// admin/login.php
session_start();

if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    $username = $_POST['username'] ?? '';
    $password = $_POST['password'] ?? '';

    // Имитация задержки
    sleep(1);

    // Проверка из БД (пример)
    $stored_hash = password_hash('admin123', PASSWORD_DEFAULT); // В реальности из БД
    if ($username === 'admin' && password_verify($password, $stored_hash)) {
        $_SESSION['user_id'] = 1;
        $_SESSION['role'] = 'admin';
        header('Location: index.php');
        exit;
    } else {
        $_SESSION['login_attempts'] = ($_SESSION['login_attempts'] ?? 0) + 1;
        $error = 'Неверные учетные данные';
    }
}

Результат: даже при правильном пароле пользователь будет ждать 1 секунду, а при неверном - увеличивается счётчик попыток. Можно добавить блокировку после N попыток.

Пример 4. Админка с двухфакторной аутентификацией (TOTP)

Интеграция Google Authenticator через библиотеку sonata-project/google-authenticator.

<?php
require_once __DIR__ . '/vendor/autoload.php';
use Google\Authenticator\GoogleAuthenticator;

$ga = new GoogleAuthenticator();
$secret = 'SECRETKEY'; // хранится для каждого пользователя

// Проверка кода
$code = $_POST['2fa_code'] ?? '';
if ($ga->checkCode($secret, $code)) {
    // код верный
} else {
    // неверный
}

Результат: пользователь вводит пароль, затем дополнительный код из приложения. Без второго фактора вход в админку невозможен.

Пример 5. Кеширование административных страниц для ускорения

Для редко меняющихся данных (например, список статичных настроек) полезно кешировать HTML-вывод.

<?php
// admin/index.php
$cache_file = __DIR__ . '/cache/dashboard_' . md5($_SESSION['user_id']) . '.html';
$cache_time = 3600; // 1 час

if (file_exists($cache_file) && (time() - filemtime($cache_file) < $cache_time)) {
    echo file_get_contents($cache_file);
    exit;
}

ob_start();
// основной код генерации страницы
?>
<h1>Панель управления</h1>
<!-- контент -->
<?php
$content = ob_get_clean();
file_put_contents($cache_file, $content);
echo $content;

Результат: при повторном запросе в течение часа отдаётся статический HTML из кеша, снижая нагрузку на генерацию.

Пример 6. Создание административной страницы с использованием шаблонизатора Twig

Отделение логики от представления.

<?php
require_once __DIR__ . '/vendor/autoload.php';

$loader = new \Twig\Loader\FilesystemLoader(__DIR__ . '/templates');
$twig = new \Twig\Environment($loader, [
    'cache' => __DIR__ . '/cache/twig',
]);

$users = [['id' => 1, 'name' => 'Alice'], ['id' => 2, 'name' => 'Bob']];
echo $twig->render('admin/users.html.twig', ['users' => $users]);

Результат: Twig скомпилирует шаблон, подставит массив пользователей. Кэширование шаблонов ускоряет повторные запросы.

Вывод: для шаблона admin/users.html.twig
<table>
  {% for user in users %}
    <tr><td>{{ user.id }}</td><td>{{ user.name }}</td></tr>
  {% endfor %}
</table>

Эти примеры покрывают различные аспекты администрирования: контроль доступа, логирование, защиту, кеширование и шаблонизацию. Каждый из них можно адаптировать под конкретные нужды проекта.