Skrypt rejestracji i logowania może być przydatny w wielu różnych sytuacjach. Jest to często spotykana funkcjonalność na stronach i w aplikacjach gdzie użytkownicy zakładają własne konta użytkownika. To najczęściej tego typu funkcjonalność motywuje twórców stron do nauki programowania w języku PHP. Nie możliwe jest uzyskanie czegoś takiego w samym HTML, CSS i JavaScript kodowanego po stronie przeglądarki a jest to dość częsta i przydatna rzecz w różnego rodzaju serwisach internetowych.

Małe sprostowanie: istnieje możliwość zabezpieczenia hasłem stron za pomocą wymyślnych skryptów JS, które przekształcają hasło w nazwę pliku.html – tak jak to było przykładowo wykonane w słynnych grach Hackme ale nie są to ani zbyt popularne ani bezpieczne rozwiązania.

Funkcjonalność tę można zwyczajnie zepsuć – zapisując hasła jako plain text w bazie danych lub nie zabezpieczając aplikacji przed podawaniem pustego hasła bądź przed atakami SQL Injection tworzona aplikacja może być anty przykładem bezpiecznej aplikacji. W tym artykule nauczysz się wykonywać rejestrację i logowanie w PHPi MySQL od podstaw bez żadnego frameworka. Dodatkowo, aplikacja będzie odporna na popularne ataki i wolna od błędów, które znacząco obniżają jej bezpieczeństwo.

Zabezpieczenie strony hasłem w PHP

Sam proces logowania nie jest potrzebny jeżeli chcemy zabezpieczyć stronę hasłem. Załóżmy, że mamy stronę sekret.php, która zawiera dane, które chcemy udostępnić tylko tym użytkownikom, którzy znają niezmienne i współdzielone hasło. Taka funkcja jest zaszyta w wielu systemach CMS. Przykładowo, ja udostępniam klientom w taki sposób wzory umów bądź cenniki.

Zabezpieczenie strony polega wtedy tak naprawdę na prostym porównaniu dwóch ciągów: tego, który użytkownik wprowadza w formularzu z tym, który zakodował autor strony bezpośrednio w skrypcie lub pliku konfiguracyjnym.

<?php
 if(isset($_POST["submit"])){
    if($_POST["haslo"] == "sekret1"){
       ?>
     Tutaj jest chroniona zawartość...
      <?php
    }
    else{
       echo "Nieprawidłowe hasło";
    }
 }
 else{
   echo "Wprowadź hasło";
 }
 ?>
 <form method="POST">
     <input type="password" name="haslo" placeholder="Podaj hasło">
     <input type="submit" name="submit" value="Wyślij">
 </form>

Ten przykład można dopracować na wiele sposobów, np. hasło może być elegancko zapisane w osobnym pliku config.php. Jeżeli zapisalibyśmy hasło w bazie danych, hasło można byłoby zmieniać za pomocą panelu administratora – tak jak to rzeczywiście realizują systemy CMS. Logikę aplikacji można oddzielić od treści za pomocą własnego routingu a sam formularz też mógłby być zapisany do osobnego pliku – chodzi jednak o samą ideę.

W miejscu gdzie pokazujemy chronioną zawartość moglibyśmy dodać linijkę:

$_SESSION["poprawne_haslo"] = true;

Wówczas, na podstawie sesji moglibyśmy udostępniać także inne podstrony bez konieczności wprowadzania jeszcze raz tego samego hasła. Przykładowo, w pliku sekret2.php mogłoby już być takie sprawdzenie:

if($_SESSION["poprawne_haslo"]){
   Tutaj jest chroniona zawartość...
} 
else{
   echo "Brak dostępu";
}

Szczegóły implementacji zależą już od naszych preferencji i UX jaki chcemy zapewnić użytkownikowi.

Takie zabezpieczenie strony ma jednak wiele wad i jest mało skalowalne. Nie wiemy kto i kiedy wprowadza hasło. Hasła nie można łatwo przypomnieć i w ogóle takie rozwiązanie nie daje tyle radości jak prawdziwe logowanie z własnym hasłem, które użytkownik ustala w trakcie rejestracji.

Rejestracja użytkowników PHP i MySQL

Aby w ogóle istniały konta, które mogą się logować, powinniśmy udostępnić administratorowi bądź samym użytkownikom przyjazny interfejs do tworzenia kont użytkowników często określany mianem formularza rejestracyjnego. Z filozoficznego punktu widzenia, rejestracja na stronie lub w aplikacji to dodanie rekordu bądź rekordów do bazy danych z informacją o użytkowniku i nic ponadto. Zazwyczaj wykonujemy dodatkowe sprawdzenie, czy tak czasem użytkownik posługujący się konkretnym adresem e-mail już nie istnieje w systemie lub wykonujemy inne sprawdzenia – czy np. hasło spełnia jakieś konkretne wymogi bezpieczeństwa. A nóż nasza aplikacja osiągnie krajowy bądź światowy sukces – warto wtedy zrobić jeszcze zabezpieczenie antyspamowe.

Formularz rejestracji na stronie nie różni się zazwyczaj od zwykłego formularza. Ma charakterystyczne dla niego pola i nic ponadto:

<form method="POST" action="register.php">
   <input type="text" name="name" placeholder="Imię i nazwisko">
   <input type="email" name="email" placeholder="E-mail">
   <input type="password" name="password">
   <input type="submit" name="submit" value="Wyślij">
</form>

Żyjemy w czasach po 2020 roku, gdzie przeglądarki same proponują bezpieczne hasła, dlatego nie będziemy dodawać dodatkowego pola „powtórz hasło” – to nieaktualna i rujnująca wygodę praktyka, o której można już zapomnieć.

Aby móc skorzystać z bazy danych musimy ją stworzyć i dodać tabelę users. Można tabęlę wyklikać lub uzyć kodu SQL:

CREATE TABLE users (
   user_id bigint(20) UNSIGNED NOT NULL,
   user_fullname varchar(128) NOT NULL,
   user_email varchar(128) NOT NULL,
   user_passwordhash varchar(255) NOT NULL
) ENGINE=InnoDB DEFAULT CHARSET=utf8;

Nie pozostaje nic innego jak zamieścić i omówić kod PHP, który dokonuje rejestracji. Na samym początku, dla wygody, przypiszmy do zmiennych wartości przechowywane w tablicy $_POST. Tablica ta jest tworzona automatycznie w przypadku wysyłania formularza a klucze to wartości atrybutów name w formularzu HTML. W pliku register.php dodajemy następujące linijki:

$user_fullname = mysqli_real_escape_string($dbconn, $_POST["name"]);
$user_email = mysqli_real_escape_string($dbconn, $_POST["email"]);
$user_password = mysqli_real_escape_string($dbconn, $_POST["password"]);

Hasło nie moze być przechowywane w bazie danych w sposób jakwny. Wymaga się aby było zaszyfrowane chociaż w taki sposób:

$user_password_hash = password_hash($user_password, PASSWORD_DEFAULT);

Przed skorzystaniem z bazy danych powinniśmy nawiązać połączenie i stworzyć zmienną $db_connection:

$db_host = "adres_serwera.mysql.db";
$db_name = "nazwa_bazy_danych";
$db_user = "nazwa_uzytkownika_mysql";
$db_pass = "haslo_uzytkownika_do_bazy_danych";
$db_conn = mysqli_connect($dbhost,$dbuser,$dbpass)
or die ("Odpowiedź: Błąd połączenia z serwerem $host");
mysqli_select_db($dbconn, $dbname) or die("Trwa konserwacja bazy danych… Odśwież stronę za kilka sekund.");

Jeżeli połączenie przebiega prawidłowo, możemy wstawić nowy rekord do bazy:

if (mysqli_query($dbconn, "INSERT INTO users (user_fullname, user_email, user_passwordhash) VALUES ('$user_fullname', '$user_email', '$user_password_hash')")){
   echo "Rejestracja przebiegła poprawnie";
} else{
   echo "Nieoczekiwany błąd";
}

Logowanie użytkowników w PHP

Logowanie może być skopiowanym formularzem rejestracji, w którym pozostawiono tylko pole do wpisania e-maila i hasła:

<form method="POST" action="login.php">
   <input type="email" name="email" placeholder="E-mail">
   <input type="password" name="password">
   <input type="submit" name="submit" value="Wyślij">
</form>

Weryfikacja czy hasło jest poprawne to wyciągniecie danych z bazy i sprawdzenie za pomocą funkcji password_verify() czy wygenerowane skróty haseł pasują do siebie:

$user_password = mysqli_real_escape_string($dbconn, $_POST["password"]);
$user_email = mysqli_real_escape_string($dbconn, $_POST["email"]);
$query = mysqli_query($dbconn, "SELECT * FROM users WHERE user_email ='$user_email');
if(mysqli_num_rows($query_login) > 0) {
   $record = mysqli_fetch_assoc($query_login);
   $hash = $record["user_passworhash"];
   if (password_verify($user_password, $hash)) {
      $_SESSION["current_user"] = user_id;
   }
}

Najpierw sprawdzamy czy podany w polu e-mail znajduje się w tabeli users jeżeli tak, pobieramy zapisany hash przy rejestracji i sprawdzamy zgodność haseł za pomocą funkcji password_verify. Funkcja zwraca prawdę jeżeli podane hasło jest poprawne.

Gdziekolwiek będziemy sprawdzać czy użytkownik jest zalogowany możemy wykorzystać zmienną sesyjną

if (isset($_SESSION["current_user"])){
   /* Użytkownik jest zalogowany */
} else {
   /* Użytkownik nie jest zalogowany */
}

Mechanizm ten można „udziwniać” na wiele sposób przykładowo:

  • przy rejestracji mogliśmy sprawdzić czy wprowadzany e-mail przechodzi walidację i czy pole nie jest puste,
  • dane mogliśmy poddać odpowiedniej obróbce np. trim lub sanitize,
  • rejestracja mogła wymagać klikniecia w link aktywacyjny.

Jednak nie o to w tym artykule chodzi a bardziej o pokazanie samej istoty zalogowania.

Resetowanie zapomnianego hasła w aplikacji PHP

Przy kliknięciu w link „Zapomniane hasło”, w dodatkowej kolumnie w tabeli z użytkownikami jest generowany losowy ciąg znaków (np. hash) wygenerowany za pomocą funkcji:

$secret = bin2hex(random_bytes(16));
$recovery_email = $_GET["recovery_email"];
mysqli_query($dbconn, "UPDATE users SET user_secret = '$secret' WHERE user_email = '$recovery_email'");

Link z sekretem wysyłamy na skrzynkę użytkownika. Skrypt password_reset.php sprawdza czy przesłano sekret i czy jest on zgodny z tym zapisanym w bazie danych, który został wygenerowany przy kliknięciu w link „Zapomniane hasło”. Jeżeli wszystko się zgadza (np. id użytkownika i sekret przesłany w linku) umożliwi on ustawienie nowego hasła poprzez aktualizację pola user_password zupełnie tak jak podczas rejestracji:

Tworzymy hash zupełnie tak jak przy rejestracji a potem zostaje aktualizacja rekordu – zerujemy przy okazji sekret lub generujemy nowy:

mysqli_query($dbconn, "UPDATE users SET user_passwordhash = '$new_passwordhash', client_secret = NULL WHERE client_secret = '$secret'" AND user_id = '$user_id');

Aktywacja konta użytkownika za pomocą e-maila w PHP

Do systemu aktywacji kont wystarczy stworzyć dodatkową kolumnę np. user_status. Może ona przyjmować wartości BOOLEAN, które będą odpowiednio informowały czy konto jest aktywowane lub nie. Można też z tego zrobić pole TINYINT i tam kodować inne statusy np. specjalne uprawnienia lub zbanowanie.

Od razu przy rejestracji tworzymy sekret podobny do tego, który tworzyliśmy przy okazji resetowania hasła a na e-mail wysyłamy link z sekretem, który teraz zmieni status użytkownika a nie będzie umożliwiał zmiany hasła.

Podsumowanie

Jak widać w PHP stworzenie bezpiecznego mechanizmu logowania na stronę internetową to zadanie na kilka minut. Nic dziwnego, że PHP jest najpopularniejszym językiem do tworzenia aplikacji i portali internetowych. Pamiętaj aby nie przechowywać haseł w postaci zwykłego tekstu bez hashowania.

Źródła

Oceń artykuł na temat: Rejestracja i logowanie w PHP – prosty i bezpieczny skrypt
Średnia : 4.7 , Maksymalnie : 5 , Głosów : 3