Обеспечение безопасности PHP-приложений через токены

Расширенные примеры работы с токенами

Пример 1. Класс для управления CSRF токенами с ротацией и временем жизни

<?php
class CsrfManager {
    private array $tokens = [];
    private int $maxTokens = 10;
    private int $lifetime = 3600; // 1 час

    public function __construct() {
        if (session_status() === PHP_SESSION_NONE) {
            session_start();
        }
        $this->tokens = $_SESSION['csrf_tokens'] ?? [];
        $this->cleanExpired();
    }

    public function generate(): string {
        $token = bin2hex(random_bytes(32));
        $this->tokens[$token] = time();
        if (count($this->tokens) > $this->maxTokens) {
            array_shift($this->tokens);
        }
        $_SESSION['csrf_tokens'] = $this->tokens;
        return $token;
    }

    public function validate(string $token): bool {
        if (!isset($this->tokens[$token])) return false;
        $age = time() - $this->tokens[$token];
        if ($age > $this->lifetime) {
            unset($this->tokens[$token]);
            $_SESSION['csrf_tokens'] = $this->tokens;
            return false;
        }
        unset($this->tokens[$token]); // одноразовое использование
        $_SESSION['csrf_tokens'] = $this->tokens;
        return true;
    }

    private function cleanExpired(): void {
        foreach ($this->tokens as $token => $time) {
            if (time() - $time > $this->lifetime) {
                unset($this->tokens[$token]);
            }
        }
    }
}
?>

Этот класс решает проблему множественных вкладок и устаревших токенов. Каждая форма получает уникальный токен, который действителен в течение часа и может быть использован только один раз.

Пример использования в контроллере:
$csrf = new CsrfManager();
$token = $csrf->generate();
// передать $token в шаблон
// при обработке POST: $csrf->validate($_POST['csrf_token'])

Пример 2. JWT с обновлением токенов (refresh token) в PHP

<?php
use Firebase\JWT\JWT;
use Firebase\JWT\Key;

class JwtAuth {
    private string $accessKey;
    private string $refreshKey;
    private int $accessExp = 900;  // 15 минут
    private int $refreshExp = 2592000; // 30 дней

    public function __construct() {
        $this->accessKey = $_ENV['JWT_ACCESS_SECRET'];
        $this->refreshKey = $_ENV['JWT_REFRESH_SECRET'];
    }

    public function createAccessToken(array $user): string {
        $payload = [
            'sub' => $user['id'],
            'role' => $user['role'],
            'iat' => time(),
            'exp' => time() + $this->accessExp
        ];
        return JWT::encode($payload, $this->accessKey, 'HS256');
    }

    public function createRefreshToken(int $userId): string {
        $payload = [
            'sub' => $userId,
            'type' => 'refresh',
            'iat' => time(),
            'exp' => time() + $this->refreshExp
        ];
        return JWT::encode($payload, $this->refreshKey, 'HS256');
    }

    public function refreshAccessToken(string $refreshToken): ?string {
        try {
            $decoded = JWT::decode($refreshToken, new Key($this->refreshKey, 'HS256'));
            if ($decoded->type !== 'refresh') return null;
            // проверить, не отозван ли refresh токен (например, в Redis)
            return $this->createAccessToken(['id' => $decoded->sub, 'role' => 'user']);
        } catch (\Exception $e) {
            return null;
        }
    }

    public function validateAccessToken(string $token): ?object {
        try {
            return JWT::decode($token, new Key($this->accessKey, 'HS256'));
        } catch (\Exception $e) {
            return null;
        }
    }
}
?>

Результат: два токена - короткоживущий access и долгоживущий refresh. Refresh токен хранится в безопасном HTTP-only cookie или на стороне клиента, access передаётся в заголовке.

$auth = new JwtAuth();
$access = $auth->createAccessToken(['id' => 1, 'role' => 'admin']);
$refresh = $auth->createRefreshToken(1);
echo "Access: $access\nRefresh: $refresh";
// Через 15 минут access истёк:
$newAccess = $auth->refreshAccessToken($refresh);
echo "New access: $newAccess";

Пример 3. Токен на основе HMAC с привязкой к IP и User-Agent

<?php
function generateBoundToken(array $data, string $secret): string {
    $data['ip'] = $_SERVER['REMOTE_ADDR'];
    $data['ua'] = $_SERVER['HTTP_USER_AGENT'] ?? '';
    $json = json_encode($data);
    $payload = base64url_encode($json);
    $signature = hash_hmac('sha256', $payload, $secret, true);
    return $payload . '.' . base64url_encode($signature);
}

function validateBoundToken(string $token, string $secret): ?array {
    $parts = explode('.', $token);
    if (count($parts) !== 2) return null;
    $payload = $parts[0];
    $signature = base64url_decode($parts[1]);
    $expected = hash_hmac('sha256', $payload, $secret, true);
    if (!hash_equals($expected, $signature)) return null;
    $data = json_decode(base64url_decode($payload), true);
    // проверка привязки
    if ($data['ip'] !== $_SERVER['REMOTE_ADDR']) return null;
    if ($data['ua'] !== ($_SERVER['HTTP_USER_AGENT'] ?? '')) return null;
    return $data;
}
?>

Такой токен нельзя использовать с другого IP или браузера, что снижает риск перехвата.

$secret = 'ваш-секрет';
$token = generateBoundToken(['user_id' => 123], $secret);
echo $token;
$result = validateBoundToken($token, $secret);
print_r($result);
// Если IP изменится - вернёт null