Передача параметра id для входа в приложение: решения и предостережения

Пример 1: Полная реализация авторизации через HMAC с базой данных пользователей.

<?php
// config.php
define('SECRET_KEY', 'ваш_секретный_ключ');
define('TOKEN_TTL', 600); // 10 минут

// generate_link.php
$userId = 123;
$exp = time() + TOKEN_TTL;
$data = $userId . '|' . $exp;
$sign = hash_hmac('sha256', $data, SECRET_KEY);
printf('Ссылка: <a href="index.php?id=%d&exp=%d&sig=%s">Войти как пользователь %d</a>', $userId, $exp, $sign, $userId);

// verify.php
$id = (int)($_GET['id'] ?? 0);
$exp = (int)($_GET['exp'] ?? 0);
$sig = $_GET['sig'] ?? '';
$expected = hash_hmac('sha256', $id . '|' . $exp, SECRET_KEY);
if ($exp < time() || !hash_equals($expected, $sig)) {
    http_response_code(403);
    exit('Доступ запрещён');
}
// Далее можно загрузить пользователя из БД по $id
echo 'Привет, пользователь #' . $id;
?>

Результат работы generate_link.php:

Ссылка: <a href="index.php?id=123&exp=1712345678&sig=abc...">Войти как пользователь 123</a>

Пример 2: Использование JWT в параметре id. Полезно для межсервисной авторизации.

<?php
require_once 'vendor/autoload.php';
use Firebase\JWT\JWT;
use Firebase\JWT\Key;

$key = 'secret_key';
$payload = [
    'sub' => 42,
    'iat' => time(),
    'exp' => time() + 300
];
$jwt = JWT::encode($payload, $key, 'HS256');
$url = 'index.php?id=' . urlencode($jwt);
echo 'JWT ссылка: ' . htmlspecialchars($url);

// Проверка
$jwtFromUrl = $_GET['id'] ?? '';
if ($jwtFromUrl) {
    try {
        $decoded = JWT::decode($jwtFromUrl, new Key($key, 'HS256'));
        echo 'Пользователь ' . $decoded->sub . ' авторизован через JWT.';
    } catch (\Exception $e) {
        echo 'Ошибка: ' . $e->getMessage();
    }
}
?>

Пример вывода:

JWT ссылка: index.php?id=eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9...
Пользователь 42 авторизован через JWT.

Пример 3: Использование токенов, хранящихся в базе данных MySQL, с автоматическим удалением после использования.

<?php
// Таблица: login_tokens (id INT AUTO_INCREMENT, user_id INT, token VARCHAR(64), expires DATETIME, used TINYINT DEFAULT 0)
// Генерация
$userId = 7;
$token = bin2hex(random_bytes(32));
$expires = date('Y-m-d H:i:s', time() + 3600);
$stmt = $pdo->prepare("INSERT INTO login_tokens (user_id, token, expires) VALUES (?, ?, ?)");
$stmt->execute([$userId, $token, $expires]);
$url = "index.php?id=$userId&token=$token";

// Проверка
$id = (int)($_GET['id'] ?? 0);
$token = $_GET['token'] ?? '';
$stmt = $pdo->prepare("SELECT * FROM login_tokens WHERE user_id = ? AND token = ? AND used = 0 AND expires > NOW() LIMIT 1");
$stmt->execute([$id, $token]);
$row = $stmt->fetch();
if ($row) {
    // Пометить как использованный
    $stmtUpdate = $pdo->prepare("UPDATE login_tokens SET used = 1 WHERE id = ?");
    $stmtUpdate->execute([$row['id']]);
    echo 'Пользователь ' . $id . ' авторизован по одноразовому токену.';
} else {
    echo 'Неверный или просроченный токен.';
}
?>

Результат: успешная авторизация при корректном токене.

Пример 4: Использование хеша пароля в качестве токена (не рекомендуется, но для демонстрации).

<?php
$password = 'user_password';
$token = password_hash($password, PASSWORD_BCRYPT);
$url = 'index.php?id=1&token=' . urlencode($token);
// Проверка
$givenToken = $_GET['token'] ?? '';
if (password_verify($password, $givenToken)) {
    echo 'Авторизация возможна, но этот метод небезопасен, так как токен равен хешу пароля.';
}
?>