Аутентификация пользователя: как реализовать login на PHP с защитой

Расширенные примеры демонстрируют полный цикл безопасного входа с учётом дополнительных мер.

Пример 1: Полный скрипт login.php с защитой от CSRF и ограничением попыток

// login.php
session_start();
require_once 'db.php';
require_once 'csrf.php'; // функции для генерации/проверки CSRF-токена

// Обработка POST-запроса
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    // Проверка CSRF
    if (!check_csrf($_POST['csrf_token'])) {
        $_SESSION['error'] = 'Ошибка безопасности: неверный CSRF-токен';
        header('Location: login_form.php');
        exit;
    }

    $username = filter_input(INPUT_POST, 'username', FILTER_SANITIZE_STRING);
    $password = $_POST['password'] ?? '';

    // Проверка на пустые поля
    if (empty($username) || empty($password)) {
        $_SESSION['error'] = 'Заполните все поля';
        header('Location: login_form.php');
        exit;
    }

    // Ограничение попыток: блок на 15 минут после 5 неудач
    $ip = $_SERVER['REMOTE_ADDR'];
    $stmt = $pdo->prepare('SELECT attempts, locked_until FROM login_attempts WHERE ip = :ip');
    $stmt->execute([':ip' => $ip]);
    $attempt = $stmt->fetch(PDO::FETCH_ASSOC);

    if ($attempt && $attempt['locked_until'] > time()) {
        $_SESSION['error'] = 'Слишком много попыток. Повторите через ' . ($attempt['locked_until'] - time()) . ' секунд.';
        header('Location: login_form.php');
        exit;
    }

    // Поиск пользователя
    $stmt = $pdo->prepare('SELECT id, username, password FROM users WHERE username = :username');
    $stmt->execute([':username' => $username]);
    $user = $stmt->fetch(PDO::FETCH_ASSOC);

    if (!$user || !password_verify($password, $user['password'])) {
        // Увеличиваем счётчик неудачных попыток
        if ($attempt) {
            $newAttempts = $attempt['attempts'] + 1;
            $locked = $newAttempts >= 5 ? time() + 900 : 0;
            $stmt = $pdo->prepare('UPDATE login_attempts SET attempts = :attempts, locked_until = :locked WHERE ip = :ip');
            $stmt->execute([':attempts' => $newAttempts, ':locked' => $locked, ':ip' => $ip]);
        } else {
            $stmt = $pdo->prepare('INSERT INTO login_attempts (ip, attempts, locked_until) VALUES (:ip, 1, 0)');
            $stmt->execute([':ip' => $ip]);
        }
        $_SESSION['error'] = 'Неверное имя пользователя или пароль';
        header('Location: login_form.php');
        exit;
    }

    // Удаляем запись о попытках (успешный вход)
    $stmt = $pdo->prepare('DELETE FROM login_attempts WHERE ip = :ip');
    $stmt->execute([':ip' => $ip]);

    // Аутентификация прошла успешно
    session_regenerate_id(true);
    $_SESSION['user_id'] = $user['id'];
    $_SESSION['username'] = $user['username'];
    $_SESSION['logged_in'] = true;

    // Дополнительно: запись последнего времени входа
    $stmt = $pdo->prepare('UPDATE users SET last_login = NOW() WHERE id = :id');
    $stmt->execute([':id' => $user['id']]);

    header('Location: dashboard.php');
    exit;
}

// Если не POST, перенаправляем на форму
header('Location: login_form.php');

Пояснение: скрипт использует CSRF-защиту, проверяет блокировку IP после 5 неудачных попыток, обновляет сессию и записывает время последнего входа. Результат – надёжная аутентификация с защитой от перебора и подделки запросов.

Пример 2: Использование подготовленных запросов через MySQLi (объектный стиль)

$mysqli = new mysqli('localhost', 'user', 'pass', 'db');
$stmt = $mysqli->prepare('SELECT id, password FROM users WHERE email = ?');
$stmt->bind_param('s', $email);
$email = filter_var($_POST['email'], FILTER_VALIDATE_EMAIL);
$stmt->execute();
$stmt->store_result();
if ($stmt->num_rows === 1) {
    $stmt->bind_result($id, $hash);
    $stmt->fetch();
    if (password_verify($password, $hash)) {
        // успех
    }
}
$stmt->close();

Результат: корректное выполнение запроса с защитой от инъекций. Ошибка: если не использовать filter_var для email, возможна передача некорректных данных.

Пример 3: Проверка пароля с использованием Argon2id (современный алгоритм)

$hash = password_hash($password, PASSWORD_ARGON2ID, ['memory_cost' => 1024, 'time_cost' => 2, 'threads' => 2]);
if (password_verify($password, $hash)) {
    echo 'Верный пароль';
}
// Результат: Argon2id устойчив к атакам на GPU, но требует PHP 7.3+

Вывод: выбор алгоритма хэширования влияет на стойкость. Argon2id рекомендуется для новых проектов.

Пример 4: Логирование попыток входа для аудита

// Вставка записи в таблицу logins
$stmt = $pdo->prepare('INSERT INTO login_log (user_id, ip, success, timestamp) VALUES (:uid, :ip, :success, NOW())');
$stmt->execute([
    ':uid' => $user['id'] ?? null,
    ':ip' => $_SERVER['REMOTE_ADDR'],
    ':success' => $authenticated ? 1 : 0
]);

Это позволяет отслеживать подозрительную активность. Проблема: большие объёмы данных – нужна архивация.