Восстановление учетных данных: методы PHP

Расширенные примеры реализации сброса пароля

Полный рабочий пример с использованием PDO, безопасной отправкой письма через PHPMailer и защитой от CSRF.

1. Полная форма запроса сброса (request.php)

<?php
session_start();
$token = bin2hex(random_bytes(32));
$_SESSION['csrf_token'] = $token;
?>
<form method="post" action="send_reset.php">
    <input type="email" name="email" required>
    <input type="hidden" name="csrf" value="<?= $token ?>">
    <button type="submit">Сбросить пароль</button>
</form>

2. Обработчик send_reset.php

<?php
session_start();
if (!hash_equals($_SESSION['csrf_token'], $_POST['csrf'])) {
    die('CSRF атака');
}
$email = filter_var($_POST['email'], FILTER_VALIDATE_EMAIL);
if (!$email) { die('Некорректный email'); }

$token = bin2hex(random_bytes(32));
$expires = date('Y-m-d H:i:s', strtotime('+1 hour'));

$pdo = new PDO('mysql:host=localhost;dbname=test', 'user', 'pass');
$stmt = $pdo->prepare('INSERT INTO password_resets (email, token_hash, expires_at) VALUES (?, ?, ?)');
$stmt->execute([$email, password_hash($token, PASSWORD_DEFAULT), $expires]);

// Отправка письма через PHPMailer
use PHPMailer\PHPMailer\PHPMailer;
require 'vendor/autoload.php';
$mail = new PHPMailer(true);
$mail->isSMTP();
$mail->Host = 'smtp.example.com';
$mail->SMTPAuth = true;
$mail->Username = 'user@example.com';
$mail->Password = 'secret';
$mail->setFrom('noreply@example.com', 'Support');
$mail->addAddress($email);
$mail->Subject = 'Сброс пароля';
$mail->Body = "Для сброса пароля перейдите по ссылке: https://example.com/reset.php?token=$token";
$mail->send();

echo 'Письмо отправлено';

3. Страница сброса reset.php

<?php
$token = $_GET['token'] ?? '';
if (empty($token)) { die('Токен отсутствует'); }

$pdo = new PDO('mysql:host=localhost;dbname=test', 'user', 'pass');
// Ищем запись, у которой хеш совпадает и срок не истёк
$stmt = $pdo->prepare('SELECT * FROM password_resets WHERE expires_at >= NOW()');
$stmt->execute();
$found = false;
while ($row = $stmt->fetch()) {
    if (password_verify($token, $row['token_hash'])) {
        $found = $row;
        break;
    }
}
if (!$found) { die('Недействительный или просроченный токен'); }

// Показываем форму для нового пароля
$csrf = bin2hex(random_bytes(32));
$_SESSION['reset_csrf'] = $csrf;
$_SESSION['reset_email'] = $found['email'];
?>
<form method="post" action="update_password.php">
    <input type="password" name="password" required>
    <input type="hidden" name="csrf" value="<?= $csrf ?>">
    <button type="submit">Сохранить новый пароль</button>
</form>

4. Обработчик update_password.php

<?php
session_start();
if (!hash_equals($_SESSION['reset_csrf'], $_POST['csrf'])) {
    die('CSRF атака');
}
$email = $_SESSION['reset_email'];
$newPassword = $_POST['password'];
if (strlen($newPassword) < 8) { die('Пароль слишком короткий'); }

$pdo = new PDO('mysql:host=localhost;dbname=test', 'user', 'pass');
$hash = password_hash($newPassword, PASSWORD_DEFAULT);
$pdo->prepare('UPDATE users SET password = ? WHERE email = ?')->execute([$hash, $email]);
$pdo->prepare('DELETE FROM password_resets WHERE email = ?')->execute([$email]);

echo 'Пароль успешно изменён';
// Очищаем сессию
session_destroy();

Результат выполнения (пример вывода при успешном сбросе)

Пароль успешно изменён

Защита от атак по времени при сравнении токена

// Использование hash_equals для предотвращения timing attack
if (hash_equals($storedHash, crypt($token, $storedHash))) {
    // ok
}
// Либо password_verify уже защищает от timing, но для прямого сравнения лучше hash_equals.

Использование готовой библиотеки (e.g., php-password-reset)

// composer require delboy1978uk/php-password-reset
$reset = new PasswordReset($pdo);
$reset->sendResetEmail($email, 'https://example.com/reset');
// Библиотека сама генерирует токен, хранит, отправляет.

Пример кода с использованием библиотеки упрощает разработку, но важно понимать внутреннее устройство для отладки.