Управление паролями в PHP: надёжные методы входа

Расширенные примеры реализации логина и пароля

Полный пример регистрации с валидацией и хешированием (PDO + prepared statements)

<?php
// register.php
$db = new PDO('mysql:host=localhost;dbname=test', 'user', 'pass');
$db->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);

$email = $_POST['email'];
$password = $_POST['password'];
$passwordConfirm = $_POST['password_confirm'];

// Валидация
if (!filter_var($email, FILTER_VALIDATE_EMAIL)) {
    die('Некорректный email');
}
if ($password !== $passwordConfirm) {
    die('Пароли не совпадают');
}
if (strlen($password) < 8) {
    die('Пароль должен содержать минимум 8 символов');
}

// Хеширование
$hash = password_hash($password, PASSWORD_ARGON2ID);

// Сохранение в БД
$stmt = $db->prepare('INSERT INTO users (email, password_hash) VALUES (?, ?)');
$stmt->execute([$email, $hash]);

echo 'Регистрация прошла успешно';

Регистрация прошла успешно

Скрипт входа с проверкой пароля и сессией

<?php
session_start();
$db = new PDO('mysql:host=localhost;dbname=test', 'user', 'pass');

$email = $_POST['email'];
$password = $_POST['password'];

$stmt = $db->prepare('SELECT id, password_hash FROM users WHERE email = ?');
$stmt->execute([$email]);
$user = $stmt->fetch();

if ($user && password_verify($password, $user['password_hash'])) {
    $_SESSION['user_id'] = $user['id'];
    header('Location: dashboard.php');
    exit;
} else {
    echo 'Неверный email или пароль';
}

Неверный email или пароль

Проверка пароля на утечку через Have I Been Pwned API

function isPasswordPwned($password) {
    $sha1 = strtoupper(sha1($password));
    $prefix = substr($sha1, 0, 5);
    $suffix = substr($sha1, 5);

    $ch = curl_init("https://api.pwnedpasswords.com/range/{$prefix}");
    curl_setopt($ch, CURLOPT_RETURNTRANSFER, true);
    $response = curl_exec($ch);
    curl_close($ch);

    $hashes = explode("\r\n", $response);
    foreach ($hashes as $line) {
        if (strpos($line, $suffix) === 0) {
            return true; // пароль найден в утечках
        }
    }
    return false;
}

if (isPasswordPwned($password)) {
    echo 'Этот пароль был скомпрометирован. Выберите другой.';
}

Этот пароль был скомпрометирован. Выберите другой.

Ограничение количества попыток входа (throttling)

// Используем файл или БД для хранения попыток
$ip = $_SERVER['REMOTE_ADDR'];
$attemptsFile = sys_get_temp_dir() . '/login_attempts_' . md5($ip);

$attempts = @file_get_contents($attemptsFile) ?: 0;
$attempts = (int)$attempts;

if ($attempts >= 5) {
    die('Слишком много попыток. Повторите через 15 минут.');
}

// ... обычная проверка пароля
if (!password_verify($password, $hash)) {
    $attempts++;
    file_put_contents($attemptsFile, $attempts);
    // устанавливаем время жизни файла 15 минут
    echo 'Неверный пароль';
} else {
    unlink($attemptsFile); // сброс после удачного входа
}

Неверный пароль

Использование JWT для stateless аутентификации (API)

// Установка через composer: firebase/php-jwt
use Firebase\JWT\JWT;

function createToken($userId) {
    $key = 'secret-key-123';
    $payload = [
        'iss' => 'myapp',
        'sub' => $userId,
        'iat' => time(),
        'exp' => time() + 3600 // 1 час
    ];
    return JWT::encode($payload, $key, 'HS256');
}

// Проверка токена
function verifyToken($token) {
    try {
        $decoded = JWT::decode($token, new \Firebase\JWT\Key('secret-key-123', 'HS256'));
        return $decoded->sub;
    } catch (Exception $e) {
        return null;
    }
}

Токен создан: eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9...