Пользователи форума в PHP: полное руководство по разработке

Расширенные примеры работы с пользователями форума

Подтверждение email через токен

После регистрации генерируется уникальный токен, сохраняется в БД и отправляется на почту. При переходе по ссылке токен проверяется, пользователь активируется.

// Регистрация с токеном
$token = bin2hex(random_bytes(16));
$stmt = $pdo->prepare('INSERT INTO users (username, email, password_hash, email_token) VALUES (?, ?, ?, ?)');
$stmt->execute([$username, $email, $hash, $token]);
// Отправка письма
// ...

// verify.php
$token = $_GET['token'];
$stmt = $pdo->prepare('UPDATE users SET email_verified = 1, email_token = NULL WHERE email_token = ?');
$stmt->execute([$token]);
header('Location: /login.php');

Результат:

Пользователь успешно активирован. При повторном использовании токена обновление не происходит (безопасность).

Система банов пользователей

Добавляем в таблицу users поле ban_until DATETIME или отдельную таблицу bans. При аутентификации проверяем, не заблокирован ли пользователь.

// Проверка при логине
$stmt = $pdo->prepare('SELECT * FROM users WHERE username = ? AND (ban_until IS NULL OR ban_until < NOW())');
$stmt->execute([$username]);
if (!$stmt->fetch()) {
    die('Учетная запись заблокирована');
}

Для установки бана администратор может выполнить SQL запрос:

UPDATE users SET ban_until = DATE_ADD(NOW(), INTERVAL 7 DAY) WHERE id = 42;

Результат:

Пользователь с ID 42 заблокирован на 7 дней. При попытке входа отображается сообщение о блокировке.

Управление сессиями через Redis

Хранение сессий в Redis увеличивает производительность и позволяет централизованно управлять сессиями. Установка через Composer: composer require predis/predis.

// Настройка обработчика сессий
require 'vendor/autoload.php';
$redis = new Predis\Client([
    'scheme' => 'tcp',
    'host'   => '127.0.0.1',
    'port'   => 6379,
]);
ini_set('session.save_handler', 'redis');
ini_set('session.save_path', 'tcp://127.0.0.1:6379');
session_start();

Результат:

Данные сессии хранятся в Redis. При масштабировании на несколько серверов все сессии доступны через единое хранилище.

API аутентификация через JWT

Для REST API форума (например, мобильное приложение) удобно использовать JWT (JSON Web Tokens). Библиотека firebase/php-jwt.

use Firebase\JWT\JWT;
use Firebase\JWT\Key;

$secretKey = 'ваш_секретный_ключ';
$payload = [
    'user_id' => 1,
    'role' => 'admin',
    'exp' => time() + 3600
];
$jwt = JWT::encode($payload, $secretKey, 'HS256');
// Возвращаем токен клиенту

// Проверка токена при запросе
$token = substr($_SERVER['HTTP_AUTHORIZATION'], 7); // Bearer ...
try {
    $decoded = JWT::decode($token, new Key($secretKey, 'HS256'));
    $_SESSION['user_id'] = $decoded->user_id;
} catch (\Exception $e) {
    http_response_code(401);
    echo 'Неверный токен';
}

Результат:

Клиент получает токен при логине. Все последующие запросы содержат заголовок Authorization: Bearer ....

Восстановление пароля с одноразовым кодом

Пользователь запрашивает восстановление, на email приходит код (6 цифр). Код хранится в БД с меткой времени. Проверка происходит без ссылок, только по коду.

// Генерация кода
$code = str_pad(random_int(0, 999999), 6, '0', STR_PAD_LEFT);
$stmt = $pdo->prepare('INSERT INTO password_reset (user_id, code, expires_at) VALUES (?, ?, DATE_ADD(NOW(), INTERVAL 15 MINUTE))');
$stmt->execute([$userId, $code]);
// Отправка письма с кодом

// Проверка кода
$code = $_POST['code'];
$stmt = $pdo->prepare('SELECT * FROM password_reset WHERE user_id = ? AND code = ? AND expires_at > NOW()');
$stmt->execute([$userId, $code]);
if ($row = $stmt->fetch()) {
    // разрешить смену пароля
}

Результат:

После ввода правильного кода пользователь может установить новый пароль. Код становится недействительным после истечения времени.