Практика аутентификации с логином и паролем

Расширенные примеры реализации логина и пароля

Ниже приведены подробные примеры кода с комментариями и демонстрацией результатов.

Пример 1. Полный скрипт регистрации с хешированием и подготовленным запросом

// register.php
<?php
require 'db.php'; // подключение PDO
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    $username = trim($_POST['username']);
    $password = $_POST['password'];
    $hash = password_hash($password, PASSWORD_DEFAULT, ['cost' => 12]);
    
    $stmt = $pdo->prepare('INSERT INTO users (username, password_hash) VALUES (:u, :h)');
    $stmt->execute(['u' => $username, 'h' => $hash]);
    echo 'User registered.';
}
?>
<form method="post">
    <input type="text" name="username" required>
    <input type="password" name="password" required>
    <button type="submit">Register</button>
</form>

Результат: при успешном выполнении в базу добавляется запись с хешем пароля. Пример хеша: $2y$12$SomeRandomSaltAndHashValue (в реальной строке будет длинный хеш).

Пример 2. Скрипт входа с проверкой CSRF-токена и защитой от перебора

// login.php
<?php
session_start();
// Генерация CSRF токена, если его нет
if (empty($_SESSION['csrf_token'])) {
    $_SESSION['csrf_token'] = bin2hex(random_bytes(32));
}
// Ограничение попыток (5 за 10 минут)
$maxAttempts = 5;
$lockoutTime = 600; // 10 минут
if (isset($_SESSION['attempts'])) {
    if ($_SESSION['attempts'] >= $maxAttempts && time() - $_SESSION['last_attempt_time'] < $lockoutTime) {
        die('Too many failed attempts. Try again later.');
    }
}
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    // Проверка CSRF
    if (!hash_equals($_SESSION['csrf_token'], $_POST['csrf_token'] ?? '')) {
        die('Invalid CSRF token.');
    }
    $username = trim($_POST['username']);
    $password = $_POST['password'];
    
    require 'db.php';
    $stmt = $pdo->prepare('SELECT id, password_hash FROM users WHERE username = :u');
    $stmt->execute(['u' => $username]);
    $user = $stmt->fetch(PDO::FETCH_ASSOC);
    
    if ($user && password_verify($password, $user['password_hash'])) {
        // Сброс попыток
        unset($_SESSION['attempts']);
        unset($_SESSION['last_attempt_time']);
        session_regenerate_id(true);
        $_SESSION['user_id'] = $user['id'];
        header('Location: dashboard.php');
        exit;
    } else {
        $_SESSION['attempts'] = ($_SESSION['attempts'] ?? 0) + 1;
        $_SESSION['last_attempt_time'] = time();
        $error = 'Invalid username or password.';
    }
}
?>
<form method="post">
    <input type="text" name="username" required>
    <input type="password" name="password" required>
    <input type="hidden" name="csrf_token" value="<?= $_SESSION['csrf_token'] ?>">
    <button type="submit">Log in</button>
    <?php if (isset($error)) echo '<p style="color:red">' . $error . '</p>'; ?>
</form>

Результат: при неверных данных выводится ошибка, счётчик попыток увеличивается. После 5 неудачных попыток за 10 минут доступ блокируется. После успешного входа происходит редирект.

Пример 3. Миграция с MD5 на bcrypt при входе пользователя

// При входе: если старый хеш (начало не с $2y$), обновляем его
$stmt = $pdo->prepare('SELECT password_hash FROM users WHERE username = :u');
$stmt->execute(['u' => $username]);
$oldHash = $stmt->fetchColumn();
if (password_verify($password, $oldHash) || (md5($password) === $oldHash)) {
    if (md5($password) === $oldHash) {
        // Замена на bcrypt
        $newHash = password_hash($password, PASSWORD_DEFAULT);
        $update = $pdo->prepare('UPDATE users SET password_hash = :h WHERE username = :u');
        $update->execute(['h' => $newHash, 'u' => $username]);
    }
    // Успешный вход
}

Результат: при каждом входе пользователя с устаревшим хешем его пароль перехешируется. Нет необходимости в массовом обновлении.

Пример 4. Использование Argon2id с кастомизацией параметров

$hash = password_hash($password, PASSWORD_ARGON2ID, [
    'memory_cost' => 65536, // 64 MB
    'time_cost'   => 4,      // 4 итерации
    'threads'     => 3       // 3 параллельных потока
]);
// Проверка остаётся той же: password_verify($password, $hash)

Результат: хеш будет начинаться с $argon2id$. Параметры можно настроить под производительность сервера.