Создание системы аутентификации и авторизации пользователей на PHP

Расширенные примеры и сценарии

Ниже представлены дополнительные примеры кода и результаты их выполнения для более глубокого понимания управления пользователями в PHP.

1. Хеширование паролей с разными алгоритмами

$password = 'UserPass123!';

// bcrypt (PASSWORD_DEFAULT)
$hashBcrypt = password_hash($password, PASSWORD_DEFAULT);
echo 'bcrypt: ' . $hashBcrypt . "\n";

// argon2i (если поддерживается)
$hashArgon2i = password_hash($password, PASSWORD_ARGON2I);
echo 'argon2i: ' . $hashArgon2i . "\n";

// argon2id (рекомендуется)
$hashArgon2id = password_hash($password, PASSWORD_ARGON2ID);
echo 'argon2id: ' . $hashArgon2id . "\n";

// Проверка
var_dump(password_verify($password, $hashBcrypt));    // bool(true)
var_dump(password_verify('wrong', $hashBcrypt));     // bool(false)

bcrypt: $2y$10$JdF6l8z0eF3Vk5mQ...
argon2i: $argon2i$v=19$m=65536,t=4,p=1$...
argon2id: $argon2id$v=19$m=65536,t=4,p=1$...
bool(true)
bool(false)

2. Восстановление пароля через токен

// Генерация токена
$token = bin2hex(random_bytes(32));
$expiry = date('Y-m-d H:i:s', strtotime('+1 hour'));

// Сохраняем в БД (предположим, есть таблица password_resets)
$stmt = $pdo->prepare('INSERT INTO password_resets (email, token, expires_at) VALUES (?, ?, ?)');
$stmt->execute([$email, $token, $expiry]);

// Отправка ссылки (заглушка)
$resetLink = "https://example.com/reset?token=$token";
echo "Ссылка для сброса: $resetLink\n";

// При переходе по ссылке проверяем токен
$stmt = $pdo->prepare('SELECT * FROM password_resets WHERE token = ? AND expires_at > NOW()');
$stmt->execute([$_GET['token']]);
$reset = $stmt->fetch();

if ($reset) {
    // Удаляем старый токен и разрешаем смену пароля
    $newPassword = 'NewStrongPass456!';
    $newHash = password_hash($newPassword, PASSWORD_DEFAULT);
    $stmt = $pdo->prepare('UPDATE users SET password_hash = ? WHERE email = ?');
    $stmt->execute([$newHash, $reset['email']]);
    echo "Пароль успешно изменён.\n";
    // Удаление использованного токена
    $pdo->prepare('DELETE FROM password_resets WHERE token = ?')->execute([$_GET['token']]);
} else {
    echo "Токен недействителен или истёк.\n";
}

Ссылка для сброса: https://example.com/reset?token=abc123def456...
Пароль успешно изменён.

3. Перехеширование устаревших паролей при входе

// Если в базе пароль был создан старым способом (например, md5+salt)
if (isset($user['old_salt'])) {
    $oldHash = md5($user['old_salt'] . $password);
    if ($oldHash === $user['password_hash']) {
        // Пароль верен, обновляем на современный хеш
        $newHash = password_hash($password, PASSWORD_DEFAULT);
        $stmt = $pdo->prepare('UPDATE users SET password_hash = ?, old_salt = NULL WHERE id = ?');
        $stmt->execute([$newHash, $user['id']]);
        echo "Хеш пароля обновлён на актуальный.\n";
        // продолжаем вход
    }
}

Хеш пароля обновлён на актуальный.

4. Многофакторная аутентификация (одноразовый код по email)

// После успешного ввода пароля генерируем 6-значный код
$code = random_int(100000, 999999);
$_SESSION['mfa_code'] = $code;
$_SESSION['mfa_expiry'] = time() + 300; // 5 минут

// Отправляем на email (заглушка)
mail($user['email'], 'Ваш код доступа', "Ваш код: $code");

// При отправке формы с кодом проверяем
if (isset($_POST['mfa_code'])) {
    if ($_POST['mfa_code'] == $_SESSION['mfa_code'] && time() < $_SESSION['mfa_expiry']) {
        unset($_SESSION['mfa_code']);
        // полная авторизация
        echo "Двухфакторная аутентификация пройдена.\n";
    } else {
        echo "Неверный или просроченный код.\n";
    }
}

(зависит от отправки почты)

5. Логирование попыток входа для защиты от брутфорса

// Таблица login_attempts: ip, attempted_at
$ip = $_SERVER['REMOTE_ADDR'];
$window = date('Y-m-d H:i:s', strtotime('-15 minutes'));

$stmt = $pdo->prepare('SELECT COUNT(*) FROM login_attempts WHERE ip = ? AND attempted_at > ?');
$stmt->execute([$ip, $window]);
$attempts = $stmt->fetchColumn();

if ($attempts >= 5) {
    die("Слишком много попыток входа. Попробуйте позже.\n");
}

// После неудачной попытки
$stmt = $pdo->prepare('INSERT INTO login_attempts (ip, attempted_at) VALUES (?, NOW())');
$stmt->execute([$ip]);

(без вывода, блокировка при превышении лимита)

6. Использование prepared statements с именованными параметрами

$stmt = $pdo->prepare('SELECT * FROM users WHERE username = :username OR email = :email');
$stmt->execute([':username' => $username, ':email' => $email]);
$user = $stmt->fetch();
var_dump($user);

array(6) {
  ["id"]=> string(1) "1"
  ["username"]=> string(5) "admin"
  ...
}

7. Работа с ролями: динамическая проверка прав

$allowedRoles = ['admin', 'moderator'];
if (!in_array($_SESSION['role'], $allowedRoles)) {
    http_response_code(403);
    echo json_encode(['error' => 'Доступ запрещён']);
    exit;
}

(в случае AJAX запроса) => { "error": "Доступ запрещён" }

8. Сессия с использованием cookie только для идентификатора

// Настройка параметров сессии перед session_start()
ini_set('session.use_only_cookies', 1);
ini_set('session.use_strict_mode', 1);
session_set_cookie_params([
    'lifetime' => 0,
    'path' => '/',
    'domain' => '',
    'secure' => true,  // только HTTPS
    'httponly' => true,
    'samesite' => 'Strict'
]);
session_start();

(без вывода, сессия защищена от перехвата)

Все примеры демонстрируют различные аспекты управления пользователями: от выбора алгоритма хеширования до защиты от брутфорс-атак. Комбинируя эти техники, можно построить надёжную систему аутентификации и авторизации.