Пользовательский режим: от гостя до администратора (PHP)

Как защитить сессии от перехвата на общем хостинге?

Для повышения безопасности можно хранить данные сессий не в файлах, а в базе данных. PHP позволяет переопределить обработчик сессий с помощью session_set_save_handler().

class DatabaseSessionHandler implements SessionHandlerInterface {
    private $pdo;
    public function __construct(PDO $pdo) {
        $this->pdo = $pdo;
    }
    public function open($savePath, $sessionName): bool {
        return true;
    }
    public function close(): bool {
        return true;
    }
    public function read($sessionId): string {
        $stmt = $this->pdo->prepare('SELECT data FROM sessions WHERE id = ?');
        $stmt->execute([$sessionId]);
        return $stmt->fetchColumn() ?: '';
    }
    public function write($sessionId, $data): bool {
        $stmt = $this->pdo->prepare('REPLACE INTO sessions (id, data, last_accessed) VALUES (?, ?, NOW())');
        return $stmt->execute([$sessionId, $data]);
    }
    public function destroy($sessionId): bool {
        $stmt = $this->pdo->prepare('DELETE FROM sessions WHERE id = ?');
        return $stmt->execute([$sessionId]);
    }
    public function gc($maxlifetime): int|false {
        $stmt = $this->pdo->prepare('DELETE FROM sessions WHERE last_accessed < NOW() - INTERVAL ? SECOND');
        $stmt->execute([$maxlifetime]);
        return $stmt->rowCount();
    }
}
// использование:
$handler = new DatabaseSessionHandler($pdo);
session_set_save_handler($handler, true);
session_start();

Document php user (документ пользователя в php)

Как позволить пользователям оставаться в системе после закрытия браузера?

Реализация функционала «запомнить меня» основана на долгоживущих куках с токеном. При входе генерируется случайный токен, сохраняется в базе данных вместе с user_id, и устанавливается кука с этим токеном (например, на 30 дней). При каждом запросе, если сессия отсутствует, токен проверяется.

// После успешного входа, если checkbox 'remember' активен:
$token = bin2hex(random_bytes(32));
$stmt = $pdo->prepare('INSERT INTO user_tokens (user_id, token, expires_at) VALUES (?, ?, DATE_ADD(NOW(), INTERVAL 30 DAY))');
$stmt->execute([$user['id'], $token]);
setcookie('remember_token', $token, time() + 86400*30, '/', '', true, true); // httponly, secure

// При запросе без сессии:
if (!isset($_SESSION['user_id']) && isset($_COOKIE['remember_token'])) {
    $stmt = $pdo->prepare('SELECT user_id FROM user_tokens WHERE token = ? AND expires_at > NOW()');
    $stmt->execute([$_COOKIE['remember_token']]);
    $userId = $stmt->fetchColumn();
    if ($userId) {
        // Восстанавливаем сессию
        session_regenerate_id(true);
        $_SESSION['user_id'] = $userId;
        // прочитать роль из таблицы users
    }
}

Name php id user (имя пользователя по id в php)

Как реализовать безсостоятельную аутентификацию для API?

JSON Web Tokens (JWT) подходят для RESTful сервисов, где сервер не хранит состояние сессии. Сервер выдаёт токен, содержащий информацию о пользователе и роли, подписанный секретным ключом. Клиент отправляет токен в заголовке Authorization.

// Пример с библиотекой firebase/php-jwt
use Firebase\JWT\JWT;
use Firebase\JWT\Key;

$key = 'secret_key_123';
$payload = [
    'user_id' => 1,
    'role' => 'admin',
    'iat' => time(),
    'exp' => time() + 3600 // 1 час
];
$jwt = JWT::encode($payload, $key, 'HS256');

// Проверка на защищённом маршруте:
$authHeader = $_SERVER['HTTP_AUTHORIZATION'] ?? '';
if (preg_match('/Bearer\s(\S+)/', $authHeader, $matches)) {
    try {
        $decoded = JWT::decode($matches[1], new Key($key, 'HS256'));
        $_SESSION['user_role'] = $decoded->role; // при необходимости
    } catch (Exception $e) {
        http_response_code(401);
        echo 'Недействительный токен';
        exit;
    }
}

User content php (контент пользователя в php)

Как обойтись без базы данных, если проект небольшой?

Для совсем простых приложений можно хранить роли пользователей в файле (например, JSON). Пароль хешируется и сопоставляется с данными из файла. Этот подход не масштабируется, но подходит для прототипов.

// users.json
[
  {
    "username": "admin",
    "password_hash": "$2y$10$...",
    "role": "admin"
  },
  {
    "username": "user",
    "password_hash": "$2y$10$...",
    "role": "user"
  }
]

// login.php
$users = json_decode(file_get_contents('users.json'), true);
foreach ($users as $user) {
    if ($_POST['username'] === $user['username'] && password_verify($_POST['password'], $user['password_hash'])) {
        session_start();
        $_SESSION['user_role'] = $user['role'];
        break;
    }
}