Создание механизма регистрации пользователей в PHP

Расширенные примеры и нестандартные сценарии

Полный файл регистрации с защитой от CSRF и валидацией

Пример включает генерацию токена, проверку существования email через отдельный запрос, нормализацию данных и логирование ошибок.

// index.php (регистрация)
session_start();
if (empty($_SESSION['csrf_token'])) {
    $_SESSION['csrf_token'] = bin2hex(random_bytes(32));
}

if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    // Проверка CSRF
    if (!hash_equals($_SESSION['csrf_token'], $_POST['csrf_token'] ?? '')) {
        die('Недействительный токен CSRF');
    }

    $username = filter_input(INPUT_POST, 'username', FILTER_SANITIZE_STRING);
    $email = filter_input(INPUT_POST, 'email', FILTER_VALIDATE_EMAIL);
    $password = $_POST['password'] ?? '';

    if (!$email) {
        $errors[] = 'Введите корректный email';
    }
    if (strlen($password) < 8) {
        $errors[] = 'Пароль должен быть не менее 8 символов';
    }
    if (!preg_match('/[A-Z]/', $password)) {
        $errors[] = 'Пароль должен содержать заглавную букву';
    }
    if (!preg_match('/[0-9]/', $password)) {
        $errors[] = 'Пароль должен содержать цифру';
    }

    if (empty($errors)) {
        $pdo = new PDO('mysql:host=localhost;dbname=test', 'root', '', [
            PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
            PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC,
        ]);

        // Проверка уникальности email
        $stmt = $pdo->prepare('SELECT id FROM users WHERE email = ?');
        $stmt->execute([$email]);
        if ($stmt->fetch()) {
            $errors[] = 'Этот email уже зарегистрирован';
        } else {
            $hash = password_hash($password, PASSWORD_BCRYPT, ['cost' => 12]);
            $stmt = $pdo->prepare('INSERT INTO users (username, email, password, created_at) VALUES (?, ?, ?, NOW())');
            $stmt->execute([$username, $email, $hash]);
            $_SESSION['user_id'] = $pdo->lastInsertId();
            header('Location: welcome.php');
            exit;
        }
    }
}
?>


    
    
    
    
    Зарегистрироваться

<? if (!empty($errors)): ?>
    

    <? foreach ($errors as $error): ?>
        
<?= htmlspecialchars($error) ?>
    <? endforeach; ?>
    
<? endif; ?>

Если все данные корректны, пользователь будет перенаправлен на welcome.php. Иначе список ошибок отобразится под формой.

Регистрация с подтверждением email через PHPMailer

Использование PHPMailer упрощает отправку писем с HTML-шаблонами и вложениями. Пример генерации токена и отправки.

// composer require phpmailer/phpmailer
use PHPMailer\PHPMailer\PHPMailer;

$token = bin2hex(random_bytes(32));
$expires = date('Y-m-d H:i:s', strtotime('+24 hours'));

// Сохранение в БД (псевдокод)
$pdo->prepare('INSERT INTO users (...) VALUES (?, ?, ?, ?, ?)')->execute([$username, $email, $hash, $token, $expires]);

$mail = new PHPMailer(true);
$mail->isSMTP();
$mail->Host = 'smtp.example.com';
$mail->SMTPAuth = true;
$mail->Username = 'user@example.com';
$mail->Password = 'secret';
$mail->SMTPSecure = PHPMailer::ENCRYPTION_STARTTLS;
$mail->Port = 587;

$mail->setFrom('noreply@example.com', 'My Site');
$mail->addAddress($email);
$mail->Subject = 'Подтверждение регистрации';
$mail->isHTML(true);
$mail->Body = "
Для завершения регистрации перейдите по ссылке
";
$mail->send();

Пользователь получает письмо с HTML-ссылкой. При переходе скрипт confirm.php проверяет токен и активирует аккаунт.

API-регистрация (RESTful) с возвратом токена доступа

Для мобильных приложений или SPA регистрация возвращает JWT. Пароль хэшируется, после успеха создаётся токен и отправляется в ответе.

// register_api.php
header('Content-Type: application/json');
$input = json_decode(file_get_contents('php://input'), true);

$email = filter_var($input['email'], FILTER_VALIDATE_EMAIL);
$password = $input['password'] ?? '';

if (!$email || strlen($password) < 8) {
    http_response_code(422);
    echo json_encode(['error' => 'Некорректные данные']);
    exit;
}

$pdo = new PDO(...);
$stmt = $pdo->prepare('SELECT id FROM users WHERE email = ?');
$stmt->execute([$email]);
if ($stmt->fetch()) {
    http_response_code(409);
    echo json_encode(['error' => 'Email занят']);
    exit;
}

$hash = password_hash($password, PASSWORD_ARGON2ID);
$stmt = $pdo->prepare('INSERT INTO users (email, password) VALUES (?, ?)');
$stmt->execute([$email, $hash]);
$userId = $pdo->lastInsertId();

// Генерация JWT (используя библиотеку firebase/php-jwt)
$payload = [
    'user_id' => $userId,
    'email' => $email,
    'iat' => time(),
    'exp' => time() + 3600
];
$jwt = JWT::encode($payload, 'secret_key', 'HS256');

echo json_encode(['token' => $jwt, 'user_id' => $userId]);

Клиент получает JSON с токеном, который затем используется для авторизации.