Реализация восстановления пароля в PHP

Расширенные и нестандартные примеры кода

Полная реализация класса для восстановления пароля

<?php
class PasswordResetManager {
    private PDO $pdo;
    private string $secretKey;
    private int $tokenLifetime = 3600; // 1 час

    public function __construct(PDO $pdo, string $secretKey) {
        $this->pdo = $pdo;
        $this->secretKey = $secretKey;
    }

    public function generateToken(int $userId): string {
        $token = bin2hex(random_bytes(32));
        $expiresAt = date('Y-m-d H:i:s', time() + $this->tokenLifetime);
        
        $stmt = $this->pdo->prepare('INSERT INTO password_reset (user_id, token, expires_at) VALUES (?, ?, ?)');
        $stmt->execute([$userId, $token, $expiresAt]);
        
        return $token;
    }

    public function resetPassword(string $token, string $newPassword): bool {
        $this->pdo->beginTransaction();
        
        $stmt = $this->pdo->prepare('SELECT user_id FROM password_reset WHERE token = ? AND expires_at > NOW() AND used = 0 FOR UPDATE');
        $stmt->execute([$token]);
        $user = $stmt->fetch();
        
        if (!$user) {
            $this->pdo->rollBack();
            return false;
        }
        
        $hash = password_hash($newPassword, PASSWORD_ARGON2ID);
        $stmt = $this->pdo->prepare('UPDATE users SET password = ? WHERE id = ?');
        $stmt->execute([$hash, $user['user_id']]);
        
        $stmt = $this->pdo->prepare('UPDATE password_reset SET used = 1 WHERE token = ?');
        $stmt->execute([$token]);
        
        $this->pdo->commit();
        return true;
    }

    public function createSignedLink(int $userId): string {
        $expires = time() + $this->tokenLifetime;
        $data = $userId . '|' . $expires;
        $signature = hash_hmac('sha256', $data, $this->secretKey);
        return "https://example.com/reset.php?uid=$userId&exp=$expires&sig=$signature";
    }

    public function verifySignedLink(int $uid, int $exp, string $sig): bool {
        $expected = hash_hmac('sha256', $uid . '|' . $exp, $this->secretKey);
        return hash_equals($expected, $sig) && $exp > time();
    }
}
?>

Очистка просроченных токенов с помощью cron

#!/usr/bin/env php
<?php
// cleanup_tokens.php
require 'config.php';
$pdo = getDbConnection();

// Удаление токенов, срок которых истёк более 2 дней назад
$stmt = $pdo->prepare('DELETE FROM password_reset WHERE expires_at < DATE_SUB(NOW(), INTERVAL 2 DAY)');
$stmt->execute();
echo "Удалено " . $stmt->rowCount() . " просроченных токенов.\n";
?>

# Пример вывода после выполнения:
Удалено 15 просроченных токенов.

Настройка cron: * * * * * php /path/to/cleanup_tokens.php

Использование хранимой процедуры для атомарной смены пароля

DELIMITER //
CREATE PROCEDURE ResetPassword(IN p_token VARCHAR(64), IN p_new_password VARCHAR(255))
BEGIN
    DECLARE v_user_id INT;
    DECLARE EXIT HANDLER FOR SQLEXCEPTION ROLLBACK;
    
    START TRANSACTION;
    
    SELECT user_id INTO v_user_id
    FROM password_reset_tokens
    WHERE token = p_token AND used = 0 AND expires_at > NOW()
    FOR UPDATE;
    
    IF v_user_id IS NOT NULL THEN
        UPDATE users SET password = p_new_password WHERE id = v_user_id;
        UPDATE password_reset_tokens SET used = 1 WHERE token = p_token;
        COMMIT;
    ELSE
        ROLLBACK;
        SIGNAL SQLSTATE '45000' SET MESSAGE_TEXT = 'Invalid or expired token';
    END IF;
END //
DELIMITER ;

Вызов из PHP:

$stmt = $pdo->prepare('CALL ResetPassword(?, ?)');
$stmt->execute([$token, password_hash($newPassword, PASSWORD_DEFAULT)]);

Генерация QR-кода для восстановления через приложение

Нестандартный сценарий: вместо ссылки пользователю показывается QR-код, который можно отсканировать мобильным приложением. Приложение открывает браузер с зашифрованным токеном.

// Использование библиотеки phpqrcode (требуется установка)
require_once 'phpqrcode/qrlib.php';

$token = generateResetToken($userId);
$encryptedToken = base64_encode(openssl_encrypt($token, 'aes-256-cbc', $encryptionKey, 0, $iv));
$url = "https://example.com/reset?data=" . urlencode($encryptedToken);

QRcode::png($url, 'qr_reset.png', QR_ECLEVEL_L, 10);
echo '<img src="qr_reset.png" alt="QR-код для восстановления">';

Вывод: изображение QR-кода, которое пользователь сканирует. После сканирования браузер переходит по ссылке с зашифрованным токеном. На сервере токен расшифровывается и проверяется.