Создание сервиса аутентификации в PHP: выбор подхода и реализация

Расширенные примеры аутентификации на PHP

Пример 1. Полный цикл JWT с refresh токеном

В этом примере создается класс для работы с JWT, включая выпуск access и refresh токенов, их проверку и обновление. Refresh токен хранится в базе данных.

class AuthService {
    private $key;
    private $refreshKey;
    
    public function __construct() {
        $this->key = $_ENV['JWT_SECRET'];
        $this->refreshKey = $_ENV['JWT_REFRESH_SECRET'];
    }
    
    public function generateTokens($userId) {
        $accessPayload = [
            'user_id' => $userId,
            'exp' => time() + 3600, // 1 час
            'type' => 'access'
        ];
        $accessToken = JWT::encode($accessPayload, $this->key, 'HS256');
        
        $refreshPayload = [
            'user_id' => $userId,
            'exp' => time() + 86400 * 30, // 30 дней
            'type' => 'refresh'
        ];
        $refreshToken = JWT::encode($refreshPayload, $this->refreshKey, 'HS256');
        
        // Сохранение refresh токена в БД
        DB::table('refresh_tokens')->insert([
            'user_id' => $userId,
            'token' => $refreshToken,
            'expires_at' => date('Y-m-d H:i:s', time() + 86400*30)
        ]);
        
        return ['access_token' => $accessToken, 'refresh_token' => $refreshToken];
    }
    
    public function refreshAccessToken($refreshToken) {
        try {
            $decoded = JWT::decode($refreshToken, $this->refreshKey, ['HS256']);
        } catch (\Exception $e) {
            return null; // невалидный refresh токен
        }
        
        // Проверка существования в БД
        $stored = DB::table('refresh_tokens')
                    ->where('token', $refreshToken)
                    ->where('user_id', $decoded->user_id)
                    ->first();
        if (!$stored) return null;
        
        // Удаление старого refresh токена
        DB::table('refresh_tokens')->where('id', $stored->id)->delete();
        
        // Создание новой пары токенов
        return $this->generateTokens($decoded->user_id);
    }
}

// Пример использования (вывод JSON):
$authService = new AuthService();
$tokens = $authService->generateTokens(42);
echo json_encode($tokens);
// Результат:
// {"access_token":"eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9...",
//  "refresh_token":"eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9..."}

Пример 2. Интеграция Google OAuth2 с полным циклом

Используется библиотека league/oauth2-google. Регистрация приложения в Google Cloud, получение credentials. Затем реализуется маршрут для входа и callback.

// auth.php - начало входа
session_start();
$provider = new League\OAuth2\Client\Provider\Google([
    'clientId' => getenv('GOOGLE_CLIENT_ID'),
    'clientSecret' => getenv('GOOGLE_CLIENT_SECRET'),
    'redirectUri' => 'https://example.com/callback'
]);
// Генерация state для защиты от CSRF
$state = bin2hex(random_bytes(16));
$_SESSION['oauth2state'] = $state;
$authorizationUrl = $provider->getAuthorizationUrl([
    'scope' => ['email', 'profile'],
    'state' => $state
]);
header('Location: ' . $authorizationUrl);
exit;

// callback.php - обработка ответа
session_start();
if (empty($_GET['state']) || (isset($_SESSION['oauth2state']) && $_GET['state'] !== $_SESSION['oauth2state'])) {
    unset($_SESSION['oauth2state']);
    exit('Invalid state');
}
$token = $provider->getAccessToken('authorization_code', [
    'code' => $_GET['code']
]);
$owner = $provider->getResourceOwner($token);
echo 'Email: ' . $owner->getEmail();
echo 'Name: ' . $owner->getName();
// Далее создаем или находим пользователя в БД и аутентифицируем

// После успешного входа браузер перенаправляется на /callback и выводит:
Email: user@gmail.com
Name: John Doe

Пример 3. Сессионная аутентификация с CSRF защитой

Реализация входа с паролем, регенерацией сессии и добавлением CSRF токена в форму.

// login.php - отображение формы
session_start();
$csrfToken = bin2hex(random_bytes(32));
$_SESSION['csrf_token'] = $csrfToken;
?>
<form method="post" action="authenticate.php">
    <input type="hidden" name="csrf_token" value="<?= $csrfToken ?>">
    Email: <input type="email" name="email"><br>
    Password: <input type="password" name="password"><br>
    <button type="submit">Войти</button>
</form>

// authenticate.php - обработка
session_start();
if ($_POST['csrf_token'] !== $_SESSION['csrf_token']) {
    die('CSRF token mismatch');
}
$user = User::findByEmail($_POST['email']);
if ($user && password_verify($_POST['password'], $user->password_hash)) {
    session_regenerate_id(true);
    $_SESSION['user_id'] = $user->id;
    header('Location: dashboard.php');
} else {
    echo 'Неверные учетные данные';
}

// При успешном входе происходит перенаправление на dashboard.php. При неверном CSRF токене - сообщение "CSRF token mismatch" и прерывание.