Реализация авторизации доступа в PHP для веб-приложений

Расширенные примеры и нестандартные сценарии авторизации в PHP

Пример 1. Комбинированная авторизация: сессия + JWT для офлайн‑доступа

Когда нужно предоставить пользователю доступ к защищенным ресурсам даже после закрытия браузера (например, с помощью ссылки с токеном).

// Создание ссылки с JWT-токеном на 24 часа
$key = 'secret_key';
$payload = [
    'user_id' => 456,
    'exp' => time() + 86400,
    'purpose' => 'download_report'
];
$token = JWT::encode($payload, $key, 'HS256');
$link = "https://example.com/report?token=$token";
echo "Ссылка действительна 24 часа: $link";

// Проверка на странице report.php
$key = 'secret_key';
$token = $_GET['token'] ?? '';
try {
    $decoded = JWT::decode($token, $key, ['HS256']);
    if ($decoded->purpose !== 'download_report') {
        throw new Exception('Неверное назначение токена');
    }
    // Выдача файла
} catch (Exception $e) {
    die('Токен недействителен или истек');
}

Результат: при переходе по ссылке пользователь получает файл без повторной аутентификации.

Пример 2. Авторизация с помощью HTTP Basic Auth через PHP

Стандартный метод для защиты отдельных страниц или API без сессий.

// HTTP Basic Auth
if (!isset($_SERVER['PHP_AUTH_USER'])) {
    header('WWW-Authenticate: Basic realm="Private Area"');
    header('HTTP/1.0 401 Unauthorized');
    echo 'Доступ запрещен';
    exit;
} else {
    $user = $_SERVER['PHP_AUTH_USER'];
    $pass = $_SERVER['PHP_AUTH_PW'];
    // Проверка в базе (обычно через password_verify)
    $hash = getPasswordHashFromDb($user);
    if (!password_verify($pass, $hash)) {
        header('HTTP/1.0 401 Unauthorized');
        die('Неверный логин или пароль');
    }
}

Результат: браузер показывает диалоговое окно ввода логина и пароля. После успеха все последующие запросы на сервер будут содержать заголовок Authorization.

Пример 3. Ролевая модель с наследованием (иерархия ролей)

В сложных системах администратор может иметь все права редактора, а редактор - все права читателя. Реализация через таблицу role_hierarchy.

// Таблицы: roles (id, name), role_hierarchy (superior_role_id, subordinate_role_id)
function userHasPermissionHierarchy($userId, $permission) {
    $db = getDb();
    // Получаем все роли пользователя + унаследованные через рекурсивный CTE
    $sql = "
        WITH RECURSIVE heir AS (
            SELECT role_id FROM user_roles WHERE user_id = ?
            UNION
            SELECT rh.superior_role_id FROM role_hierarchy rh
            JOIN heir h ON rh.subordinate_role_id = h.role_id
        )
        SELECT COUNT(*) FROM role_permissions rp
        JOIN heir h ON rp.role_id = h.role_id
        WHERE rp.permission = ?
    ";
    $stmt = $db->prepare($sql);
    $stmt->execute([$userId, $permission]);
    return $stmt->fetchColumn() > 0;
}

Результат: пользователь с ролью 'editor' получает доступ ко всем ресурсам, разрешенным для 'reader', и дополнительно к своим.

Пример 4. Авторизация на основе времени: доступ только в рабочее время

Ограничение доступа к административной панели по часам.

$startHour = 9; // 09:00
$endHour = 18;  // 18:00
$currentHour = (int)date('G');
if ($currentHour < $startHour || $currentHour >= $endHour) {
    die('Доступ разрешен только с 9:00 до 18:00');
}
// Далее проверка роли или сессии

Результат: в нерабочее время пользователь получает ошибку доступа.

Пример 5. Двухфакторная авторизация (2FA) как дополнительный слой

После основной аутентификации требуется одноразовый код (TOTP) из аутентификатора.

// Генерация кода (используем библиотеку otphp)
use Otp\GoogleAuthenticator;
$ga = new GoogleAuthenticator();
$secret = $ga->generateSecret();
$qrCodeUrl = $ga->getQRCodeUrl('MyApp', 'user@example.com', $secret);
// Сохраняем $secret в базе для пользователя

// Проверка кода
$userSecret = getSecretFromDb($userId);
$code = $_POST['code'];
if ($ga->verifyCode($userSecret, $code, 2)) { // допуск 2 интервала
    // ОК
} else {
    die('Неверный код');
}

Результат: пользователь вводит логин и пароль, затем одноразовый код, сгенерированный на телефоне.