Регистрация и вход в систему на PHP: безопасная реализация

Расширенные примеры кода для углублённого понимания

Пример 1. Полный класс User с методами регистрации, логина и сброса пароля

class User {
    private $pdo;
    private $table = 'users';

    public function __construct(PDO $pdo) {
        $this->pdo = $pdo;
    }

    public function register($data) {
        $this->validate($data);
        $hash = password_hash($data['password'], PASSWORD_DEFAULT);
        $sql = "INSERT INTO {$this->table} (name, email, password, created_at) VALUES (:name, :email, :password, NOW())";
        $stmt = $this->pdo->prepare($sql);
        return $stmt->execute([
            'name' => $data['name'],
            'email' => $data['email'],
            'password' => $hash
        ]);
    }

    public function login($email, $password) {
        $stmt = $this->pdo->prepare("SELECT * FROM {$this->table} WHERE email = :email AND active = 1");
        $stmt->execute(['email' => $email]);
        $user = $stmt->fetch();
        if ($user && password_verify($password, $user['password'])) {
            // Проверка, не устарел ли хеш
            if (password_needs_rehash($user['password'], PASSWORD_DEFAULT)) {
                $newHash = password_hash($password, PASSWORD_DEFAULT);
                $this->updatePassword($user['id'], $newHash);
            }
            return $user;
        }
        return false;
    }

    public function requestPasswordReset($email) {
        $token = bin2hex(random_bytes(32));
        $expires = date('Y-m-d H:i:s', strtotime('+1 hour'));
        $stmt = $this->pdo->prepare("UPDATE {$this->table} SET reset_token = :token, reset_expires = :expires WHERE email = :email");
        $stmt->execute(['token' => hash('sha256', $token), 'expires' => $expires, 'email' => $email]);
        // Отправка email с сырым токеном
        return $token;
    }

    private function updatePassword($id, $hash) {
        $stmt = $this->pdo->prepare("UPDATE {$this->table} SET password = :password WHERE id = :id");
        $stmt->execute(['password' => $hash, 'id' => $id]);
    }

    private function validate($data) {
        if (empty($data['email']) || !filter_var($data['email'], FILTER_VALIDATE_EMAIL)) {
            throw new InvalidArgumentException('Некорректный email');
        }
        if (strlen($data['password']) < 8) {
            throw new InvalidArgumentException('Пароль должен быть не менее 8 символов');
        }
        // Проверка уникальности
        $stmt = $this->pdo->prepare("SELECT id FROM {$this->table} WHERE email = :email");
        $stmt->execute(['email' => $data['email']]);
        if ($stmt->fetch()) {
            throw new RuntimeException('Пользователь с таким email уже существует');
        }
    }
}

// Пример использования
$user = new User($pdo);
try {
    $user->register(['name' => 'Иван', 'email' => 'ivan@example.com', 'password' => 'securePass123']);
    echo 'Регистрация успешна';
} catch (Exception $e) {
    echo 'Ошибка: ' . $e->getMessage();
}

Пример 2. Регистрация с поддержкой "Запомнить меня" (remember me)

Генерация долгоживущего токена, хранящегося в куке и в базе данных.

// После успешного входа
if (isset($_POST['remember'])) {
    $token = bin2hex(random_bytes(32));
    $hashedToken = hash('sha256', $token);
    // Сохраняем хеш токена в БД с меткой времени
    $stmt = $pdo->prepare("INSERT INTO auth_tokens (user_id, token, expires) VALUES (:uid, :token, DATE_ADD(NOW(), INTERVAL 30 DAY))");
    $stmt->execute(['uid' => $user['id'], 'token' => $hashedToken]);
    // Устанавливаем куку
    setcookie('remember_me', $token, time() + 86400 * 30, '/', '', true, true);
}

// При заходе на сайт без сессии
if (empty($_SESSION['user_id']) && isset($_COOKIE['remember_me'])) {
    $cookieToken = $_COOKIE['remember_me'];
    $hashed = hash('sha256', $cookieToken);
    $stmt = $pdo->prepare("SELECT user_id FROM auth_tokens WHERE token = :token AND expires > NOW()");
    $stmt->execute(['token' => $hashed]);
    if ($row = $stmt->fetch()) {
        $_SESSION['user_id'] = $row['user_id'];
        // Опционально обновить токен (ротация)
    }
}

Пример 3. Использование библиотеки phpass (устаревший, но показательный)

require_once 'PasswordHash.php';
$t_hasher = new PasswordHash(8, false);
$hash = $t_hasher->HashPassword($password);
$check = $t_hasher->CheckPassword($input_password, $hash);

// Результат: $hash - строка до 60 символов, проверка возвращает true/false

Пример 4. Защита от CSRF в формах регистрации

session_start();
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    if (!isset($_POST['csrf_token']) || $_POST['csrf_token'] !== $_SESSION['csrf_token']) {
        die('CSRF token validation failed');
    }
}
// Генерация токена
$_SESSION['csrf_token'] = bin2hex(random_bytes(32));

// В форме
<input type="hidden" name="csrf_token" value="<?php echo $_SESSION['csrf_token']; ?>">