Аутентификация пользователей: создание формы входа и регистрации

Расширенные примеры регистрации

Ниже приведены более сложные сценарии с полным кодом и пояснениями.

Пример 1. Регистрация с транзакцией и логированием

try {
    $pdo->beginTransaction();
    
    $stmt = $pdo->prepare('INSERT INTO users (login, email, password_hash) VALUES (?, ?, ?)');
    $stmt->execute([$login, $email, $hash]);
    $userId = $pdo->lastInsertId();
    
    // Логируем событие
    $logStmt = $pdo->prepare('INSERT INTO logs (user_id, action, time) VALUES (?, ?, NOW())');
    $logStmt->execute([$userId, 'registration']);
    
    $pdo->commit();
    echo 'Регистрация выполнена, ID: ' . $userId;
} catch (Exception $e) {
    $pdo->rollBack();
    error_log($e->getMessage());
    die('Ошибка при регистрации');
}

Результат: при успешной регистрации создаётся запись в таблице users и запись в logs. При ошибке обе операции отменяются.

Пример 2. Асинхронная проверка логина с защитой от XSS

Клиентская часть (fetch):

const loginInput = document.querySelector('#login');
const feedback = document.querySelector('#login-feedback');

loginInput.addEventListener('blur', function() {
    fetch('check_login.php', {
        method: 'POST',
        headers: {'Content-Type': 'application/x-www-form-urlencoded'},
        body: 'login=' + encodeURIComponent(this.value)
    })
    .then(r => r.json())
    .then(data => {
        feedback.textContent = data.exists ? 'Логин занят' : 'Логин свободен';
        feedback.className = data.exists ? 'error' : 'success';
    });
});

Сервер (check_login.php):

$login = $_POST['login'] ?? '';
if (!preg_match('/^[a-zA-Z0-9_]{3,20}$/', $login)) {
    echo json_encode(['exists' => false, 'error' => 'Некорректный логин']);
    exit;
}
$stmt = $pdo->prepare('SELECT 1 FROM users WHERE login = ?');
$stmt->execute([$login]);
echo json_encode(['exists' => (bool)$stmt->fetchColumn()]);

Результат: при вводе логина на сервер отправляется AJAX-запрос, возвращается JSON с boolean и отображается подсказка.

Пример 3. Регистрация с подтверждением email и токеном

// Генерация токена
$token = bin2hex(random_bytes(32));
$hash = password_hash($password, PASSWORD_DEFAULT);

try {
    $pdo->beginTransaction();
    $stmt = $pdo->prepare('INSERT INTO users (login, email, password_hash, active, email_token) VALUES (?, ?, ?, 0, ?)');
    $stmt->execute([$login, $email, $hash, $token]);
    $pdo->commit();
    
    // Отправка письма (упрощённо)
    $link = "http://example.com/activate.php?token=$token";
    mail($email, 'Подтверждение регистрации', "Для активации перейдите: $link");
    echo 'Проверьте почту для активации аккаунта';
} catch (Exception $e) {
    $pdo->rollBack();
    die('Ошибка');
}

// activate.php
$token = $_GET['token'] ?? '';
$stmt = $pdo->prepare('UPDATE users SET active = 1 WHERE email_token = ? AND active = 0');
$stmt->execute([$token]);
if ($stmt->rowCount()) {
    echo 'Аккаунт активирован';
} else {
    echo 'Неверный или использованный токен';
}

Результат: после регистрации пользователь получает письмо со ссылкой. Переход по ней активирует учётную запись.

Пример 4. Интеграция Google reCAPTCHA v3

// Форма (HTML)
<input type="hidden" name="recaptcha_response" id="recaptchaResponse">
<script>
grecaptcha.ready(function() {
    grecaptcha.execute('site_key', {action: 'register'}).then(function(token) {
        document.getElementById('recaptchaResponse').value = token;
    });
});
</script>

// PHP обработка
$recaptcha = $_POST['recaptcha_response'];
$secret = 'secret_key';
$verify = file_get_contents("https://www.google.com/recaptcha/api/siteverify?secret=$secret&response=$recaptcha");
$response = json_decode($verify);
if ($response->score < 0.5) {
    die('Подозрительная активность');
}

Результат: Google оценивает действия пользователя по шкале от 0 до 1; если оценка низкая, регистрация отклоняется.

Пример 5. Использование password_needs_rehash для обновления хеша

if (password_verify($password, $storedHash)) {
    if (password_needs_rehash($storedHash, PASSWORD_DEFAULT)) {
        $newHash = password_hash($password, PASSWORD_DEFAULT);
        $stmt = $pdo->prepare('UPDATE users SET password_hash = ? WHERE id = ?');
        $stmt->execute([$newHash, $userId]);
    }
    // успешный вход
}

Результат: при каждой аутентификации проверяется, нужно ли обновить хеш до более современного алгоритма без вмешательства пользователя.