Идентификация удаленного пользователя в PHP

Как объединить несколько источников для определения пользователя?

В сложных инфраструктурах может потребоваться комбинировать данные из разных заголовков. Пример – получение реального IP с учётом доверенных прокси и одновременно имени пользователя из REMOTE_USER.

<?php
function getRealIp(): string {
    $trustedProxies = ['10.0.0.0/8', '172.16.0.0/12', '192.168.0.0/16'];
    $remoteIp = $_SERVER['REMOTE_ADDR'] ?? '0.0.0.0';
    
    // Проверяем, не является ли REMOTE_ADDR доверенным прокси
    if (ipInRange($remoteIp, $trustedProxies)) {
        $forwarded = $_SERVER['HTTP_X_FORWARDED_FOR'] ?? '';
        if ($forwarded) {
            $ips = array_map('trim', explode(',', $forwarded));
            // Берём первый IP, если он не из диапазона частных адресов (может быть тоже прокси)
            $realIp = $ips[0];
            return $realIp;
        }
    }
    return $remoteIp;
}

function ipInRange(string $ip, array $ranges): bool {
    foreach ($ranges as $range) {
        if (ipInSubnet($ip, $range)) return true;
    }
    return false;
}

// Вспомогательная функция для проверки подсети (упрощённая)
function ipInSubnet(string $ip, string $subnet): bool {
    if (strpos($subnet, '/') === false) {
        return $ip === $subnet;
    }
    list($net, $mask) = explode('/', $subnet);
    $ipLong = ip2long($ip);
    $netLong = ip2long($net);
    $maskLong = -1 << (32 - (int)$mask);
    return ($ipLong & $maskLong) === ($netLong & $maskLong);
}

echo "Реальный IP: " . getRealIp();
?>
  

Результат: Вернётся IP реального клиента, даже если запрос прошёл через несколько промежуточных прокси, при условии, что доверенные прокси известны.

Реальный IP: 93.180.123.45
  

Как обрабатывать аутентификацию на PHP с проверкой токена в заголовке?

Вместо Basic-аутентификации часто используют Bearer-токены. Пример извлечения токена из заголовка Authorization и его верификация (упрощённо).

<?php
$headers = getallheaders();
$auth = $headers['Authorization'] ?? '';
if (preg_match('/^Bearer\s+(\S+)$/', $auth, $matches)) {
    $token = $matches[1];
    // Проверка токена (например, через базу данных или JWT)
    if (verifyToken($token)) {
        echo "Пользователь идентифицирован по токену.";
    } else {
        http_response_code(401);
        echo 'Неверный токен';
    }
} else {
    http_response_code(401);
    echo 'Заголовок Authorization отсутствует или имеет неверный формат';
}

function verifyToken(string $token): bool {
    // Имитация проверки
    return $token === 'mytoken123';
}
?>
  

Результат: Если токен корректен, скрипт выведет сообщение об успехе. Иначе – ошибка 401.

Пользователь идентифицирован по токену.
  

Как логировать все заголовки запроса для отладки?

Иногда нужно сохранить полную информацию об удалённом пользователе для последующего анализа. Пример сохраняет все заголовки в лог-файл вместе с меткой времени.

<?php
$headers = getallheaders();
$logEntry = [
    'time' => date('Y-m-d H:i:s'),
    'ip' => $_SERVER['REMOTE_ADDR'] ?? '',
    'user_agent' => $_SERVER['HTTP_USER_AGENT'] ?? '',
    'headers' => $headers
];
$logLine = json_encode($logEntry, JSON_UNESCAPED_UNICODE | JSON_UNESCAPED_SLASHES);
file_put_contents('/var/log/php_users.log', $logLine . "\n", FILE_APPEND);
echo "Заголовки записаны в лог.";
?>
  

Результат: В файл /var/log/php_users.log добавится строка JSON с данными пользователя.

Как отличить загрузку файла от обычного запроса для идентификации пользователя?

При загрузке файлов пользователь может передавать дополнительные заголовки (например, Content-Type: multipart/form-data). Для идентификации можно комбинировать заголовки и данные формы.

<?php
if ($_SERVER['REQUEST_METHOD'] === 'POST' && strpos($_SERVER['CONTENT_TYPE'] ?? '', 'multipart/form-data') !== false) {
    // Загрузка файла
    $user = $_POST['username'] ?? 'unknown';
    $file = $_FILES['file'] ?? null;
    echo "Пользователь $user загружает файл: " . ($file['name'] ?? 'не указан');
} else {
    // Обычный запрос
    echo "Обычный запрос от " . ($_SERVER['REMOTE_ADDR'] ?? '');
}
?>
  

Как использовать сессии для идентификации пользователя после аутентификации?

После того как пользователь прошёл проверку (например, через логин/пароль), можно сохранить его идентификатор в сессии. Это самый распространённый способ привязки действий к конкретному удалённому пользователю.

<?php
session_start();
if (!isset($_SESSION['user_id'])) {
    // Пользователь не аутентифицирован – перенаправляем на страницу входа
    header('Location: /login.php');
    exit;
}
$userId = $_SESSION['user_id'];
echo "Текущий пользователь (ID): " . htmlspecialchars($userId);
?>
  

Результат: Для защищённой страницы будет выведен идентификатор пользователя, если сессия активна.