Аутентификация запросов к веб-сервисам на PHP

Дополнительные примеры кода

Работа с refresh-токенами в JWT

Для продления сессии без повторного ввода пароля используют пару access/refresh. Access-токен живёт коротко (15 мин), refresh – долго (30 дней).

// Генерация пары
$accessPayload = [
    'sub' => $userId,
    'exp' => time() + 900, // 15 минут
    'type' => 'access'
];
$accessToken = JWT::encode($accessPayload, $key, 'HS256');

$refreshPayload = [
    'sub' => $userId,
    'exp' => time() + 2592000, // 30 дней
    'type' => 'refresh',
    'jti' => bin2hex(random_bytes(16)) // уникальный ID для отзыва
];
$refreshToken = JWT::encode($refreshPayload, $key, 'HS256');
// Сохраняем jti в БД для последующей проверки

Эндпоинт обновления:

// /api/refresh
$refreshToken = $_POST['refresh_token'] ?? '';
try {
    $decoded = JWT::decode($refreshToken, new Key($key, 'HS256'));
    if ($decoded->type !== 'refresh') throw new Exception('Не refresh-токен');
    // Проверяем jti в БД (не отозван)
    $userId = $decoded->sub;
    // Выдаём новый access-токен
    $newAccess = JWT::encode([
        'sub' => $userId,
        'exp' => time() + 900,
        'type' => 'access'
    ], $key, 'HS256');
    echo json_encode(['access_token' => $newAccess]);
} catch (\Exception $e) {
    http_response_code(401);
    echo json_encode(['error' => 'Refresh token invalid']);
}
?>

Аутентификация с помощью HMAC и защиты от replay

Добавим timestamp и nonce, чтобы запрос не мог быть повторён злоумышленником.

// Клиент
$secret = 'my-secret';
$timestamp = time();
$nonce = bin2hex(random_bytes(8));
$body = '{"action":"read"}';
$dataToSign = $timestamp . ':' . $nonce . ':' . $body;
$signature = hash_hmac('sha256', $dataToSign, $secret);
// Заголовки: X-Timestamp, X-Nonce, X-Signature

// Сервер
$receivedTimestamp = $_SERVER['HTTP_X_TIMESTAMP'] ?? 0;
$receivedNonce = $_SERVER['HTTP_X_NONCE'] ?? '';
$receivedSignature = $_SERVER['HTTP_X_SIGNATURE'] ?? '';
$body = file_get_contents('php://input');

// Проверка временной метки (разница не более 5 минут)
if (abs(time() - $receivedTimestamp) > 300) {
    http_response_code(401);
    exit('Запрос устарел');
}
// Проверка nonce (хранить в redis на 5 минут)
if (nonceIsUsed($receivedNonce)) {
    http_response_code(401);
    exit('Nonce уже использован');
}
// Проверка подписи
$expected = hash_hmac('sha256', $receivedTimestamp . ':' . $receivedNonce . ':' . $body, $secret);
if (!hash_equals($expected, $receivedSignature)) {
    http_response_code(401);
    exit('Подпись недействительна');
}
?>

Использование атрибутов PHP для middleware (PSR-7 / Slim Framework)

Пример с Slim Framework 4, где аутентификация реализована в middleware с проверкой JWT.

use Psr\Http\Message\ServerRequestInterface as Request;
use Psr\Http\Message\ResponseInterface as Response;
use Slim\App;
use Firebase\JWT\JWT;
use Firebase\JWT\Key;

$app = new App();

$jwtMiddleware = function (Request $request, $handler) use ($key) {
    $authHeader = $request->getHeaderLine('Authorization');
    if (!preg_match('/Bearer\s(\S+)/', $authHeader, $matches)) {
        $response = new \Slim\Psr7\Response();
        $response->getBody()->write('Unauthorized');
        return $response->withStatus(401);
    }
    try {
        $decoded = JWT::decode($matches[1], new Key($key, 'HS256'));
        $request = $request->withAttribute('user_id', $decoded->sub);
        return $handler->handle($request);
    } catch (\Exception $e) {
        $response = new \Slim\Psr7\Response();
        $response->getBody()->write('Invalid token');
        return $response->withStatus(401);
    }
};

$app->get('/api/protected', function (Request $request, Response $response) {
    $userId = $request->getAttribute('user_id');
    $response->getBody()->write("Hello user $userId");
    return $response;
})->add($jwtMiddleware);

$app->run();

Пример с использованием API-ключей и лимитов запросов

// Генерация ключа при регистрации
$rawKey = bin2hex(random_bytes(32));
$hashedKey = password_hash($rawKey, PASSWORD_BCRYPT);
// Сохраняем $hashedKey в БД, возвращаем $rawKey клиенту

// Проверка
$apiKey = $_SERVER['HTTP_X_API_KEY'] ?? '';
$stmt = $pdo->prepare('SELECT id, rate_limit FROM users WHERE api_key_hash = ?');
$stmt->execute([hash('sha256', $apiKey)]);
$user = $stmt->fetch();

if (!$user) {
    http_response_code(403);
    exit('Invalid API key');
}
// Проверка лимита (например, Redis)
$currentCount = $redis->incr("rate:{$user['id']}");
if ($currentCount > $user['rate_limit']) {
    http_response_code(429);
    exit('Rate limit exceeded');
}
?>

Результат выполнения (для последнего примера) – при превышении лимита сервер вернёт 429 Too Many Requests.