Сценарии проверки личности в веб-безопасности PHP

Подробные примеры реализации

Пример 1. Сессионная аутентификация с защитой от CSRF и блокировкой после неудачных попыток

Код регистрации и входа с использованием встроенных средств PHP для CSRF токенов. Покажем листинг с обработкой попыток.

<?php
// config.php
session_start();
define('MAX_ATTEMPTS', 5);
define('BLOCK_TIME', 900); // 15 минут

// registration.php
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    $login = trim($_POST['login']);
    $password = $_POST['password'];
    $hash = password_hash($password, PASSWORD_BCRYPT, ['cost' => 12]);
    // save to DB: login, hash, created_at
    // generate CSRF token
    $_SESSION['csrf_token'] = bin2hex(random_bytes(32));
}

// login.php
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    // check CSRF
    if (!isset($_POST['csrf_token']) || $_POST['csrf_token'] !== $_SESSION['csrf_token']) {
        die('CSRF token mismatch');
    }
    // check block
    $attempts = $_SESSION['attempts'] ?? 0;
    $block_time = $_SESSION['block_time'] ?? 0;
    if ($attempts >= MAX_ATTEMPTS && time() - $block_time < BLOCK_TIME) {
        die('Too many attempts. Try later.');
    }
    $user = getUserByLogin($_POST['login']);
    if ($user && password_verify($_POST['password'], $user['hash'])) {
        session_regenerate_id(true);
        $_SESSION['user_id'] = $user['id'];
        unset($_SESSION['attempts'], $_SESSION['block_time']);
        // regenerate CSRF
        $_SESSION['csrf_token'] = bin2hex(random_bytes(32));
        header('Location: dashboard.php');
        exit;
    } else {
        $_SESSION['attempts'] = ($_SESSION['attempts'] ?? 0) + 1;
        if ($_SESSION['attempts'] >= MAX_ATTEMPTS) {
            $_SESSION['block_time'] = time();
        }
        $error = 'Invalid credentials';
    }
}
?>

Результат: пользователь блокируется на 15 минут после 5 неудачных попыток. CSRF токен защищает форму от подделки.

Пример 2. JWT аутентификация с refresh token

Создаем два токена: access (15 мин) и refresh (7 дней). Refresh хранится в БД и в HttpOnly cookie. При истечении access, клиент отправляет refresh на специальный endpoint.

<?php
use Firebase\JWT\JWT;
use Firebase\JWT\Key;

$accessKey = 'access_secret';
$refreshKey = 'refresh_secret';
$accessExp = time() + 900;
$refreshExp = time() + 604800;

// Создание токенов при входе
$accessPayload = ['user_id' => $user['id'], 'type' => 'access', 'exp' => $accessExp];
$accessToken = JWT::encode($accessPayload, $accessKey, 'HS256');
$refreshPayload = ['user_id' => $user['id'], 'type' => 'refresh', 'exp' => $refreshExp];
$refreshToken = JWT::encode($refreshPayload, $refreshKey, 'HS256');
// Сохраняем refresh в БД (таблица refresh_tokens: user_id, token_hash, expires_at)
$tokenHash = hash('sha256', $refreshToken);
// INSERT INTO refresh_tokens (user_id, token_hash, expires_at) VALUES ($user['id'], '$tokenHash', date('Y-m-d H:i:s', $refreshExp))
// Отправляем refresh token в HttpOnly cookie (недоступен JS)
setcookie('refresh_token', $refreshToken, $refreshExp, '/', '', true, true);
// Access token передаем клиенту в ответе JSON
echo json_encode(['access_token' => $accessToken]);

// Endpoint для обновления
// if cookie refresh_token exists
$refreshToken = $_COOKIE['refresh_token'] ?? '';
try {
    $decoded = JWT::decode($refreshToken, new Key($refreshKey, 'HS256'));
    if ($decoded->type !== 'refresh') throw new Exception;
    // Проверяем, что такой токен есть в БД и не отозван
    $stored = getRefreshTokenByHash(hash('sha256', $refreshToken));
    if (!$stored || $stored['revoked']) throw new Exception;
    // Создаем новый access token
    $newAccess = JWT::encode(['user_id' => $decoded->user_id, 'type' => 'access', 'exp' => time()+900], $accessKey, 'HS256');
    echo json_encode(['access_token' => $newAccess]);
} catch (Exception $e) {
    http_response_code(401);
    echo 'Invalid refresh token';
}
?>

Результат: клиент получает короткоживущий access token, а refresh token хранится в HttpOnly cookie. При запросе защищенного ресурса сервер проверяет access. Если истек, клиент автоматически (через interceptor) запрашивает новый access по refresh.

Пример 3. Двухфакторная аутентификация с TOTP (Google Authenticator)

Реализация с использованием библиотеки (например, Spomky-Labs/otphp).

<?php
use OTPHP\TOTP;

// Настройка 2FA (после обычного входа)
$secret = TOTP::create()->getSecret(); // base32
// Показываем QR-код: otpauth://totp/Example:user?secret=...&issuer=Example
// Сохраняем secret у пользователя

// Проверка кода
$totp = TOTP::create($secret);
$isValid = $totp->verify($_POST['code'], null, 2); // допускаем 2 шага по времени
if ($isValid) {
    // завершаем аутентификацию (например, устанавливаем сессию)
    $_SESSION['2fa_verified'] = true;
}
?>

Результат: пользователь после ввода пароля должен ввести 6-значный код, который генерируется каждые 30 секунд в приложении. Без знания секрета подобрать код практически невозможно.