PHP中的授权与身份验证：代码示例

PHP中的授权与身份验证：从基础到安全

在现代Web开发中，身份验证（验证用户身份）和授权（验证访问权限）是基本的安全机制。在PHP中，这些过程通过会话、Cookie、密码哈希和令牌来实现。在本文中，我们将解析创建教育网站pythonlib.ru安全登录系统所需的所有关键方面。

1. 基本概念：身份验证 vs 授权

在编写代码之前，清楚区分这两个术语非常重要：

身份验证 — 验证用户是否是其声称的身份的过程（用户名+密码、生物识别、令牌）。
授权 — 确定已认证用户可以访问哪些资源和操作（角色：管理员、版主、用户）。

在PHP中，身份验证通常通过会话或JWT执行，而授权则通过检查数据库中的角色来实现。

2. 密码哈希：切勿以明文形式存储密码

PHP提供了用于安全密码哈希的内置函数。请使用password_hash()和password_verify()——这是现代标准。

// 用户注册$password = $_POST['password'];$hashedPassword = password_hash($password, PASSWORD_BCRYPT, ['cost' => 12]);

// 将 $hashedPassword 保存到数据库$sql = "INSERT INTO users (email, password_hash) VALUES (?, ?)";$stmt = $pdo->prepare($sql);$stmt->execute([$_POST['email'], $hashedPassword]);

// 登录时验证$inputPassword = $_POST['password'];$storedHash = $user['password_hash']; // 来自数据库

if (password_verify($inputPassword, $storedHash)) {    // 身份验证成功    $_SESSION['user_id'] = $user['id'];} else {    // 密码错误}

3. PHP中的会话管理

会话是跟踪已认证用户的最常见方式。PHP会自动生成唯一的会话ID并将其保存在Cookie中。

// 启动会话（始终在脚本开头）session_start();

// 成功登录后$_SESSION['user_id'] = $user['id'];$_SESSION['user_role'] = $user['role']; // 用于授权$_SESSION['logged_in'] = true;

// 在受保护页面上检查身份验证function requireAuth() {    if (!isset($_SESSION['logged_in']) || $_SESSION['logged_in'] !== true) {        header('Location: /login.php');        exit;    }}

// 退出系统session_destroy();setcookie(session_name(), '', time() - 3600, '/');

4. 会话安全：防御攻击

为防止会话劫持和会话固定攻击，请使用以下措施：

登录后重新生成会话ID：

session_regenerate_id(true); // 删除旧会话

检查User-Agent和IP（可选，但可提高安全性）：

$_SESSION['user_agent'] = $_SERVER['HTTP_USER_AGENT'];

// 每次请求时if ($_SESSION['user_agent'] !== $_SERVER['HTTP_USER_AGENT']) {    session_destroy();    die('可疑活动');}

在php.ini中或通过session_set_cookie_params()设置会话Cookie标志：

session_set_cookie_params([    'lifetime' => 0,           // 直到浏览器关闭    'secure' => true,          // 仅HTTPS    'httponly' => true,        // 无法从JavaScript访问    'samesite' => 'Strict'     // 防御CSRF]);session_start();