PHP: аутентификация пользователя с использованием ID

Расширенные примеры и подробные инструкции

Полный пример логина с обработкой ошибок и сессией

Показан законченный скрипт, который подключается к БД, проверяет данные и устанавливает сессию. Результат: успешный вход перенаправляет на dashboard, ошибка выводится на той же странице.

<?
session_start();
$pdo = new PDO('mysql:host=localhost;dbname=test', 'root', '', [
    PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
    PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC
]);

$error = '';

if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    $userId = filter_input(INPUT_POST, 'user_id', FILTER_VALIDATE_INT);
    $password = $_POST['password'] ?? '';

    if (!$userId || !$password) {
        $error = 'Пожалуйста, заполните ID и пароль.';
    } else {
        try {
            $stmt = $pdo->prepare('SELECT id, password_hash FROM users WHERE id = :id');
            $stmt->execute(['id' => $userId]);
            $user = $stmt->fetch();

            if (!$user) {
                $error = 'Пользователь с таким ID не найден.';
            } elseif (!password_verify($password, $user['password_hash'])) {
                $error = 'Неверный пароль.';
            } else {
                $_SESSION['user_id'] = $user['id'];
                header('Location: dashboard.php');
                exit;
            }
        } catch (PDOException $e) {
            $error = 'Ошибка базы данных: ' . $e->getMessage();
        }
    }
}
?>




    <? if ($error): ?>
        
<? echo htmlspecialchars($error); ?>
    <? endif; ?>
    

        ID пользователя: 

        Пароль: 

        Войти
    

Результат при успешном входе: браузер перенаправляется на dashboard.php, сессия содержит user_id.
При ошибке: на странице отображается сообщение (например, "Неверный пароль").

Пример регистрации с созданием хеша пароля

Для полноты картины покажем, как правильно сохранить пароль при регистрации пользователя, чтобы затем использовать его для логина.

// register.php
$username = filter_input(INPUT_POST, 'username', FILTER_SANITIZE_STRING);
$password = $_POST['password'] ?? '';
$cost = 12; // повышаем сложность bcrypt

if (strlen($password) < 6) {
    $error = 'Пароль должен содержать минимум 6 символов.';
} else {
    $hash = password_hash($password, PASSWORD_BCRYPT, ['cost' => $cost]);
    
    $stmt = $pdo->prepare('INSERT INTO users (username, password_hash) VALUES (:username, :hash)');
    $stmt->execute(['username' => $username, 'hash' => $hash]);
    
    $newId = $pdo->lastInsertId();
    echo "Пользователь зарегистрирован с ID: $newId";
}

Результат: в таблицу users добавляется запись, password_hash содержит bcrypt-хеш.
Пример хеша: $2y$12$Jk8R1b...

Пример логина с дополнительной защитой от brute force (ограничение попыток)

Для предотвращения перебора можно хранить число неудачных попыток в сессии или в БД и блокировать вход на время.

session_start();
if (!isset($_SESSION['login_attempts'])) {
    $_SESSION['login_attempts'] = 0;
}

if ($_SESSION['login_attempts'] >= 5) {
    $wait = 30; // секунд
    $last = $_SESSION['last_attempt_time'] ?? 0;
    if (time() - $last < $wait) {
        $error = "Слишком много попыток. Подождите $wait секунд.";
    } else {
        $_SESSION['login_attempts'] = 0; // сброс
    }
}

if (empty($error)) {
    // ... проверка логина ...
    if ($failed) {
        $_SESSION['login_attempts']++;
        $_SESSION['last_attempt_time'] = time();
        $error = 'Неверные данные.';
    } else {
        $_SESSION['login_attempts'] = 0; // успех
    }
}

После 5 неудач: пользователь видит сообщение и не может отправлять форму 30 секунд.
После успеха: счетчик сбрасывается.

Логин по ID через REST API (JSON)

Пример для SPA-приложения, когда данные отправляются в формате JSON.

// api/login.php
header('Content-Type: application/json');

$input = json_decode(file_get_contents('php://input'), true);
$userId = filter_var($input['user_id'] ?? null, FILTER_VALIDATE_INT);
$password = $input['password'] ?? '';

if (!$userId || !$password) {
    http_response_code(400);
    echo json_encode(['error' => 'Missing ID or password']);
    exit;
}

$stmt = $pdo->prepare('SELECT id, password_hash FROM users WHERE id = :id');
$stmt->execute(['id' => $userId]);
$user = $stmt->fetch();

if ($user && password_verify($password, $user['password_hash'])) {
    $_SESSION['user_id'] = $user['id'];
    echo json_encode(['success' => true, 'user_id' => $user['id']]);
} else {
    http_response_code(401);
    echo json_encode(['error' => 'Invalid credentials']);
}

Запрос: POST /api/login с JSON {"user_id": 10, "password": "secret"}
Ответ: {"success": true, "user_id": 10} или код 401 с описанием ошибки.

Проверка ID на корректность перед запросом: пример с whitelist

Если ID может быть только из определённого набора (например, для тестовых аккаунтов), можно проверить его по белому списку.

$allowedIds = [1, 2, 3, 100, 200];
$userId = filter_input(INPUT_POST, 'user_id', FILTER_VALIDATE_INT);

if (!in_array($userId, $allowedIds, true)) {
    die('Доступ разрешён только для тестовых ID.');
}

// далее безопасный запрос

Если передан ID=4, которого нет в списке, выполнение прерывается и возвращается сообщение об ошибке.