Как сделать авторизацию на сайте php mysql

mysqli_close($conn);

Важно помнить, что соединение с MySQL должно закрываться только после выполнения всех запросов и обработки результатов. Прежде чем закрыть соединение, убедитесь, что все данные корректно обработаны и сохранены.

Регистрация нового пользователя: создание формы и обработка данных

Форма регистрации должна содержать минимальный, но достаточный набор полей: имя пользователя, электронную почту, пароль и подтверждение пароля. Пример HTML-кода:

<form method="POST" action="register.php">
<input type="text" name="username" placeholder="Имя пользователя" required>
<input type="email" name="email" placeholder="Email" required>
<input type="password" name="password" placeholder="Пароль" required>
<input type="password" name="confirm_password" placeholder="Повторите пароль" required>
<button type="submit">Зарегистрироваться</button>
</form>

На стороне сервера необходимо:

• Проверить совпадение паролей.
• Валидировать email с помощью filter_var($email, FILTER_VALIDATE_EMAIL).
• Проверить уникальность email и имени пользователя в базе данных.
• Использовать password_hash() для безопасного хранения пароля.
• Подготовить запрос с использованием PDO и параметризованных выражений для защиты от SQL-инъекций.

Пример кода на PHP для обработки формы:

require 'db.php';
$username = trim($_POST['username']);
$email = trim($_POST['email']);
$password = $_POST['password'];
$confirm = $_POST['confirm_password'];
if ($password !== $confirm) {
exit('Пароли не совпадают.');
}
if (!filter_var($email, FILTER_VALIDATE_EMAIL)) {
exit('Некорректный email.');
}
$stmt = $pdo->prepare("SELECT COUNT(*) FROM users WHERE email = :email OR username = :username");
$stmt->execute(['email' => $email, 'username' => $username]);
if ($stmt->fetchColumn() > 0) {
exit('Пользователь с таким именем или email уже существует.');
}
$hash = password_hash($password, PASSWORD_DEFAULT);
$insert = $pdo->prepare("INSERT INTO users (username, email, password) VALUES (:username, :email, :password)");
$insert->execute([
'username' => $username,
'email' => $email,
'password' => $hash
]);
echo 'Регистрация прошла успешно.';

Необходимо обрабатывать ошибки PDO с помощью try-catch, включив режим исключений: $pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);.

Пароли должны иметь минимальную длину от 8 символов и включать буквы и цифры, это можно проверять через регулярные выражения.

Для усиления безопасности используйте CSRF-токен, внедрив скрытое поле в форму и проверку на сервере.

Проверка данных при входе пользователя в систему

После отправки формы авторизации скрипт должен валидировать введённые данные до обращения к базе данных. Первым шагом необходимо убедиться, что поля email и пароль не пусты. Проверка осуществляется с помощью функции empty() или строгой проверки strlen(trim($value)) > 0.

Для поля email следует использовать фильтрацию с функцией filter_var($email, FILTER_VALIDATE_EMAIL), чтобы исключить некорректные адреса до выполнения SQL-запроса.

Перед сравнением пароля необходимо получить хеш из базы данных и использовать функцию password_verify() вместо прямого сравнения строк. Это обеспечивает защиту от атак по словарю и повышает надёжность системы.

Запрос к базе данных должен быть подготовленным. Используйте PDO с привязанными параметрами или mysqli::prepare() для исключения SQL-инъекций:

$stmt = $pdo->prepare("SELECT id, password FROM users WHERE email = :email");
$stmt->execute(['email' => $email]);
$user = $stmt->fetch();

После успешной верификации пароля необходимо инициализировать сессию с помощью session_start() и сохранить в $_SESSION только необходимую информацию, например id или email, исключая пароли и другие чувствительные данные.

Рекомендуется вести учёт неудачных попыток входа для блокировки подозрительной активности. Для этого фиксируйте IP-адрес, метку времени и результат попытки в отдельной таблице, ограничивая частоту входов для одного пользователя.

Хранение паролей: использование хеширования в PHP

Пароли пользователей не должны сохраняться в базе данных в исходном виде. Вместо этого используется хеширование – одностороннее преобразование строки в уникальную последовательность фиксированной длины. В PHP для безопасного хеширования применяется функция password_hash().

• Алгоритм по умолчанию: password_hash() использует BCRYPT, начиная с PHP 7.4 – ARGON2I и ARGON2ID, если они доступны.
• Генерация хеша: $hash = password_hash($password, PASSWORD_DEFAULT);
• Проверка пароля: password_verify($input, $hash);

Не задавайте собственную «соль» вручную – она автоматически добавляется функцией password_hash(), что снижает вероятность ошибок при реализации.

При обновлении алгоритмов хеширования используйте password_needs_rehash():

if (password_needs_rehash($hash, PASSWORD_DEFAULT)) {
$hash = password_hash($password, PASSWORD_DEFAULT);
}

Рекомендации:

1. Храните только хеш, а не оригинальный пароль или его производные.
2. Не используйте устаревшие функции: md5(), sha1(), crypt().
3. Обеспечьте защиту базы данных: даже при утечке хешей невозможен прямой доступ к паролям.
4. Ограничьте число попыток входа, чтобы предотвратить перебор (brute-force).

Хеширование не делает данные невзламываемыми, но существенно усложняет обратное восстановление пароля даже при компрометации базы данных.

Реализация сессий для поддержания состояния авторизации

Для хранения состояния авторизации необходимо использовать сессии PHP. Сразу после подключения к базе данных вызывается функция session_start(). Без этого сессия не будет работать, и идентификатор пользователя не сохранится между запросами.

После успешной проверки введённых данных, например, логина и пароля, присваивается уникальный идентификатор пользователю: $_SESSION['user_id'] = $user['id'];. Это значение позволяет идентифицировать пользователя на всех страницах сайта без повторной авторизации.

Проверка авторизации выполняется на каждой защищённой странице с помощью условия: if (!isset($_SESSION['user_id'])) { header("Location: login.php"); exit; }. Это гарантирует, что доступ к закрытому разделу получит только авторизованный пользователь.

Сессия уничтожается при выходе пользователя через вызов session_unset() и session_destroy(). Также необходимо удалить cookie с идентификатором сессии: setcookie(session_name(), '', time() - 3600, '/');.

Для повышения безопасности рекомендуется задать параметры сессии: session_set_cookie_params(['httponly' => true, 'secure' => true, 'samesite' => 'Strict']); и использовать session_regenerate_id(true) сразу после входа, чтобы предотвратить фиксацию сессии.

Храните минимум информации в $_SESSION. Достаточно одного идентификатора пользователя. Остальные данные при необходимости запрашивайте из базы данных. Это снижает риск утечки чувствительных данных.

Вопрос-ответ: