Работа с сессиями и токенами - php session get

Вариант 1: Сохранение сессий в базе данных

Когда требуется масштабирование приложения на несколько серверов, сессии хранят в централизованном хранилище, например, в MySQL. Для этого реализуется пользовательский обработчик сессий.

class DbSessionHandler implements SessionHandlerInterface {
    private $db;

    public function open($savePath, $sessionName): bool {
        $this->db = new PDO('mysql:host=localhost;dbname=sessions', 'user', 'pass');
        return true;
    }

    public function read($sessionId): string {
        $stmt = $this->db->prepare('SELECT data FROM sessions WHERE id = ?');
        $stmt->execute([$sessionId]);
        return $stmt->fetchColumn() ?: '';
    }

    public function write($sessionId, $data): bool {
        $stmt = $this->db->prepare('REPLACE INTO sessions (id, data, last_accessed) VALUES (?, ?, NOW())');
        return $stmt->execute([$sessionId, $data]);
    }

    public function close(): bool { return true; }
    public function destroy($sessionId): bool {
        $stmt = $this->db->prepare('DELETE FROM sessions WHERE id = ?');
        return $stmt->execute([$sessionId]);
    }
    public function gc($maxlifetime): bool {
        $stmt = $this->db->prepare('DELETE FROM sessions WHERE last_accessed < DATE_SUB(NOW(), INTERVAL ? SECOND)');
        return $stmt->execute([$maxlifetime]);
    }
}

session_set_save_handler(new DbSessionHandler(), true);
session_start();
// Далее работа с $_SESSION как обычно

Вариант 2: Использование JWT для stateless аутентификации

JWT (JSON Web Token) позволяет передавать данные клиента без хранения состояния на сервере. Токен подписывается секретным ключом, и сервер проверяет его подлинность при каждом запросе.

// Генерация JWT с использованием библиотеки firebase/php-jwt
require_once 'vendor/autoload.php';
use Firebase\JWT\JWT;
use Firebase\JWT\Key;

$key = 'my_secret_key';
$payload = [
    'user_id' => 42,
    'role' => 'admin',
    'exp' => time() + 3600
];
$jwt = JWT::encode($payload, $key, 'HS256');
echo $jwt;

eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9... (сокращено)

Проверка JWT на сервере:

$jwt = $_SERVER['HTTP_AUTHORIZATION'] ?? '';
$jwt = str_replace('Bearer ', '', $jwt);
try {
    $decoded = JWT::decode($jwt, new Key($key, 'HS256'));
    $userId = $decoded->user_id;
    echo "Пользователь ID: $userId";
} catch (Exception $e) {
    http_response_code(401);
    echo 'Токен недействителен';
}

Пользователь ID: 42

Вариант 3: CSRF-токены для защиты форм

Для предотвращения межсайтовой подделки запросов (CSRF) в сессии генерируется случайный токен, который добавляется в формы и проверяется при отправке.

// Генерация и сохранение CSRF-токена в сессии
session_start();
if (empty($_SESSION['csrf_token'])) {
    $_SESSION['csrf_token'] = bin2hex(random_bytes(32));
}
$csrfToken = $_SESSION['csrf_token'];
?>
<form method="POST">
    <input type="hidden" name="csrf_token" value="<?= $csrfToken ?>">
    <input type="text" name="data">
    <button type="submit">Отправить</button>
</form>

(HTML-форма с токеном)

Проверка на сервере:

if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    if (!hash_equals($_SESSION['csrf_token'], $_POST['csrf_token'] ?? '')) {
        die('Недействительный CSRF-токен');
    }
    // Обработка формы
}

Вариант 4: Хранение сессий в Redis

Redis обеспечивает быстрое чтение и запись сессий, что полезно для высоконагруженных приложений. Подключение через PHP-расширение redis.

// Установка обработчика сессий на Redis
ini_set('session.save_handler', 'redis');
ini_set('session.save_path', 'tcp://127.0.0.1:6379?prefix=session_');
session_start();
// Работа с сессией как обычно
$_SESSION['user'] = 'Alice';
echo $_SESSION['user'];

Alice