Регистрация пользователя в PHP: лучшие практики и примеры реализации

Расширенные примеры создания пользователя

Пример с полной валидацией и использованием password_needs_rehash

Дополнительно проверяется сложность пароля и при необходимости хеш обновляется при входе. Код обработчика регистрации:

// config.php
$pdo = new PDO('mysql:host=localhost;dbname=test', 'root', '', [
    PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
    PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC
]);

function validateInput($data) {
    $errors = [];
    if (empty($data['username']) || strlen($data['username']) < 3) {
        $errors[] = 'Имя пользователя должно содержать не менее 3 символов.';
    }
    if (!filter_var($data['email'], FILTER_VALIDATE_EMAIL)) {
        $errors[] = 'Некорректный email.';
    }
    if (strlen($data['password']) < 8) {
        $errors[] = 'Пароль должен быть не менее 8 символов.';
    }
    if ($data['password'] !== $data['password_confirm']) {
        $errors[] = 'Пароли не совпадают.';
    }
    return $errors;
}

// register.php
require 'config.php';
$errors = validateInput($_POST);
if (!empty($errors)) {
    echo json_encode(['status' => 'error', 'messages' => $errors]);
    exit;
}

$username = trim($_POST['username']);
$email = strtolower(trim($_POST['email']));
$password = $_POST['password'];
$hash = password_hash($password, PASSWORD_BCRYPT, ['cost' => 12]);

try {
    $stmt = $pdo->prepare('INSERT INTO users (username, email, password_hash) VALUES (?, ?, ?)');
    $stmt->execute([$username, $email, $hash]);
    echo json_encode(['status' => 'success', 'message' => 'Регистрация завершена.']);
} catch (PDOException $e) {
    if ($e->getCode() == 23000) { // целостность
        echo json_encode(['status' => 'error', 'messages' => ['Этот email уже используется.']]);
    } else {
        // логирование ошибки
        echo json_encode(['status' => 'error', 'messages' => ['Внутренняя ошибка сервера.']]);
    }
}

Результат при успешной регистрации:

{"status":"success","message":"Регистрация завершена."}

Пример создания пользователя с хешированием через Sodium (PHP 7.2+)

Современная библиотека sodium обеспечивает шифрование паролей с использованием Argon2id. Поддержка встроена в PHP (при собранном ext-sodium).

$hash = sodium_crypto_pwhash_str(
    $password,
    SODIUM_CRYPTO_PWHASH_OPSLIMIT_MODERATE,
    SODIUM_CRYPTO_PWHASH_MEMLIMIT_MODERATE
);
// Вставка в БД: password_hash_sodium
// Проверка при логине:
if (sodium_crypto_pwhash_str_verify($hash, $password)) {
    // пароль верен
}

Использование sodium даёт более высокую устойчивость к подбору, чем bcrypt, если серверное окружение позволяет.

Пример с использованием prepared statements в MySQLi

Альтернатива PDO - расширение MySQLi. Код для регистрации:

$mysqli = new mysqli('localhost', 'root', '', 'test');
if ($mysqli->connect_error) {
    die('Ошибка подключения: ' . $mysqli->connect_error);
}

$username = $mysqli->real_escape_string($_POST['username']);
$email = $mysqli->real_escape_string($_POST['email']);
$passwordHash = password_hash($_POST['password'], PASSWORD_DEFAULT);

$stmt = $mysqli->prepare('INSERT INTO users (username, email, password_hash) VALUES (?, ?, ?)');
$stmt->bind_param('sss', $username, $email, $passwordHash);
if ($stmt->execute()) {
    echo 'Новый пользователь создан, ID: ' . $mysqli->insert_id;
} else {
    if ($mysqli->errno == 1062) {
        echo 'Пользователь с таким email уже существует.';
    } else {
        echo 'Ошибка: ' . $stmt->error;
    }
}
$stmt->close();
$mysqli->close();

Пример с кастомной солью (устаревший, не рекомендуется)

Для ясности: иногда в легаси-проектах встречается конкатенация соли. Не используйте этот подход в новых разработках.

$salt = bin2hex(random_bytes(16));
$hash = sha1($salt . $password);
// Хранится и соль, и хеш

Пароль проверяется через hash_equals() для защиты от атак по времени.

Пример регистрации с выдачей JWT токена (API)

Для REST API после создания пользователя можно сразу вернуть JWT-токен авторизации. Используется библиотека firebase/php-jwt.

require 'vendor/autoload.php';
use Firebase\JWT\JWT;

// ... создание пользователя в БД ...
$secretKey = 'your-secret-key';
$payload = [
    'sub' => $userId,
    'email' => $email,
    'iat' => time(),
    'exp' => time() + 3600
];
$jwt = JWT::encode($payload, $secretKey, 'HS256');
echo json_encode(['token' => $jwt]);

Результат:

{"token":"eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9..."}