Создание безопасного механизма аутентификации пользователей на PHP

Расширенные примеры и результаты

Пример 1: Полный скрипт регистрации с PDO и password_hash

<?php
require_once 'config.php';
$errors = [];
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    $username = trim($_POST['username']);
    $email = trim($_POST['email']);
    $password = $_POST['password'];
    $confirm = $_POST['confirm'];

    // Валидация
    if (strlen($password) < 8) $errors[] = 'Пароль должен быть не менее 8 символов';
    if ($password !== $confirm) $errors[] = 'Пароли не совпадают';

    if (empty($errors)) {
        $hash = password_hash($password, PASSWORD_DEFAULT);
        $stmt = $pdo->prepare("INSERT INTO users (username, email, password_hash) VALUES (:username, :email, :hash)");
        try {
            $stmt->execute([
                ':username' => $username,
                ':email' => $email,
                ':hash' => $hash
            ]);
            header('Location: login.php?registered=1');
            exit;
        } catch (PDOException $e) {
            if ($e->getCode() == 23000) {
                $errors[] = 'Пользователь с таким email уже существует';
            } else {
                $errors[] = 'Ошибка базы данных';
            }
        }
    }
}
?>

Результат: при успешной регистрации пользователь перенаправляется на login.php с параметром registered=1. При ошибках выводится список сообщений. В базе данных пароль сохранен в виде bcrypt хеша (начинается с $2y$).

Пример 2: Защита от CSRF при входе

// В форме login.php добавляем скрытое поле:
<input type="hidden" name="csrf_token" value="<?= $_SESSION['csrf_token'] ?>">

// Генерация токена перед формой (если не задан)
if (empty($_SESSION['csrf_token'])) {
    $_SESSION['csrf_token'] = bin2hex(random_bytes(32));
}

// Проверка при обработке POST
if (!hash_equals($_SESSION['csrf_token'], $_POST['csrf_token'])) {
    die('CSRF атака обнаружена');
}

Результат: при попытке отправить форму с неверным токеном (например, из другого сайта) запрос отклоняется. Токен уникален для сессии и меняется при каждом новом входе (если нужно).

Пример 3: Ограничение на количество попыток входа (Brute Force Protection)

// Таблица login_attempts
CREATE TABLE login_attempts (
    ip VARCHAR(45) NOT NULL,
    attempted_at DATETIME NOT NULL,
    INDEX idx_ip_time (ip, attempted_at)
);

// Перед проверкой пароля
$ip = $_SERVER['REMOTE_ADDR'];
$stmt = $pdo->prepare("SELECT COUNT(*) FROM login_attempts WHERE ip = :ip AND attempted_at > DATE_SUB(NOW(), INTERVAL 15 MINUTE)");
$stmt->execute([':ip' => $ip]);
if ($stmt->fetchColumn() >= 5) {
    die('Слишком много попыток. Попробуйте через 15 минут.');
}

// Если пароль неверный - записываем попытку
$stmt = $pdo->prepare("INSERT INTO login_attempts (ip, attempted_at) VALUES (:ip, NOW())");
$stmt->execute([':ip' => $ip]);

Результат: при превышении 5 неудачных попыток с одного IP за 15 минут вход блокируется. После успешного входа можно очистить неудачные попытки для этого IP.

Пример 4: Использование PHPMailer для двухфакторной аутентификации (код на email)

// После первого шага (пароль верный) генерируем код
$code = random_int(100000, 999999);
$_SESSION['2fa_code'] = password_hash($code, PASSWORD_DEFAULT);
$_SESSION['2fa_expires'] = time() + 300; // 5 минут
// Отправляем email
$mail = new PHPMailer\PHPMailer\PHPMailer();
// ... настройки SMTP
$mail->addAddress($email);
$mail->Subject = 'Код подтверждения';
$mail->Body = "Ваш код: $code";
if (!$mail->send()) {
    // ошибка отправки
}

Результат: пользователь вводит код с почты. Проверка: if (password_verify($inputCode, $_SESSION['2fa_code']) && time() < $_SESSION['2fa_expires']) { // полный доступ }.

Пример 5: Использование готового компонента (Symfony Security)

// composer require symfony/security-bundle
// В конфигурации (security.yaml):
security:
    encoders:
        App\Entity\User: 'auto'
    providers:
        entity_provider:
            entity:
                class: App\Entity\User
                property: email
    firewalls:
        main:
            form_login:
                login_path: login
                check_path: login_check
            logout:
                path: /logout

Результат: фреймворк автоматически управляет аутентификацией, сессиями, хешированием. Разработчику нужно только создать Entity User и шаблон формы.