Аутентификация и авторизация: защита веб-проекта от взломов

<form method="post" action="login.php">
<input type="email" name="email" placeholder="Email" required>
<input type="password" name="password" placeholder="Пароль" required>
<button type="submit">Войти</button>
</form>

<?php
// Защита от CSRF
if (!isset($_POST['csrf_token']) || $_POST['csrf_token'] !== $_SESSION['csrf_token']) {
die('CSRF проверка не пройдена');
}

// Очистка и валидация входных данных
$email = filter_var($_POST['email'], FILTER_SANITIZE_EMAIL);
$password = $_POST['password'];

// Подключение к базе данных
$pdo = new PDO('mysql:host=localhost;dbname=myapp', 'username', 'password');

// Запрос пользователя (используем подготовленные выражения для защиты от SQL-инъекций)
$stmt = $pdo->prepare('SELECT id, password_hash FROM users WHERE email = ?');
$stmt->execute([$email]);
$user = $stmt->fetch();

// Проверка пароля
if ($user && password_verify($password, $user['password_hash'])) {
// Успешная аутентификация
session_regenerate_id(true); // Предотвращение атак фиксации сессии
$_SESSION['user_id'] = $user['id'];
$_SESSION['last_activity'] = time();

// Генерация JWT токена (для API)
$payload = [
'user_id' => $user['id'],
'exp' => time() + 3600 // Токен на 1 час
];
$jwt = generateJWT($payload, 'ваш_секретный_ключ');

echo json_encode(['success' => true, 'token' => $jwt]);
} else {
// Неудачная аутентификация
// Добавляем задержку для предотвращения атак перебором
sleep(1);
echo json_encode(['success' => false, 'message' => 'Неверный email или пароль']);
}

// Функция для генерации JWT
function generateJWT($payload, $secret) {
$header = json_encode(['typ' => 'JWT', 'alg' => 'HS256']);
$base64UrlHeader = str_replace(['+', '/', '='], ['-', '_', ''], base64_encode($header));
$base64UrlPayload = str_replace(['+', '/', '='], ['-', '_', ''], base64_encode(json_encode($payload)));
$signature = hash_hmac('sha256', $base64UrlHeader . "." . $base64UrlPayload, $secret, true);
$base64UrlSignature = str_replace(['+', '/', '='], ['-', '_', ''], base64_encode($signature));

return $base64UrlHeader . "." . $base64UrlPayload . "." . $base64UrlSignature;
}
?>

const loginForm = document.getElementById('login-form');

loginForm.addEventListener('submit', async (e) => {
e.preventDefault();

const email = document.getElementById('email').value;
const password = document.getElementById('password').value;

try {
const response = await fetch('/login.php', {
method: 'POST',
headers: {
'Content-Type': 'application/json',
'X-CSRF-Token': document.querySelector('meta[name="csrf-token"]').content
},
body: JSON.stringify({ email, password }),
});

const data = await response.json();

if (data.success) {
// Сохранение токена в localStorage
localStorage.setItem('auth_token', data.token);

// Перенаправление на защищенную страницу
window.location.href = '/dashboard.html';
} else {
// Отображение ошибки
document.getElementById('error-message').textContent = data.message;
}
} catch (error) {
console.error('Ошибка при входе:', error);
}
});

// Функция для защищенных запросов
function makeAuthenticatedRequest(url, options = {}) {
const token = localStorage.getItem('auth_token');

if (!token) {
window.location.href = '/login.html';
return;
}

return fetch(url, {
...options,
headers: {
...options.headers,
'Authorization': `Bearer ${token}`
}
});
}

<?php
// register.php
$email = filter_var($_POST['email'], FILTER_SANITIZE_EMAIL);
$password = $_POST['password'];
$username = filter_var($_POST['username'], FILTER_SANITIZE_STRING);

// Проверка сложности пароля
if (strlen($password) < 8 || !preg_match('/[A-Z]/', $password) || 
!preg_match('/[a-z]/', $password) || !preg_match('/[0-9]/', $password)) {
die(json_encode(['success' => false, 'message' => 'Пароль должен содержать не менее 8 символов, включая заглавные, строчные буквы и цифры']));
}

// Хеширование пароля
$password_hash = password_hash($password, PASSWORD_BCRYPT, ['cost' => 12]);

// Подключение к базе данных
$pdo = new PDO('mysql:host=localhost;dbname=myapp', 'username', 'password');

// Проверка, не существует ли уже пользователь с таким email
$stmt = $pdo->prepare('SELECT id FROM users WHERE email = ?');
$stmt->execute([$email]);
if ($stmt->fetch()) {
die(json_encode(['success' => false, 'message' => 'Пользователь с таким email уже существует']));
}

// Вставка нового пользователя
$stmt = $pdo->prepare('INSERT INTO users (username, email, password_hash, created_at) VALUES (?, ?, ?, NOW())');
$result = $stmt->execute([$username, $email, $password_hash]);

if ($result) {
echo json_encode(['success' => true, 'message' => 'Регистрация успешна']);
} else {
echo json_encode(['success' => false, 'message' => 'Ошибка при регистрации']);
}
?>

<?php
// Проверка прав доступа
function checkPermission($userId, $permissionName) {
$pdo = new PDO('mysql:host=localhost;dbname=myapp', 'username', 'password');

// Запрос для проверки наличия разрешения через роли
$stmt = $pdo->prepare('
SELECT COUNT(*) FROM permissions p
JOIN role_permissions rp ON p.id = rp.permission_id
JOIN user_roles ur ON rp.role_id = ur.role_id
WHERE ur.user_id = ? AND p.name = ?
');
$stmt->execute([$userId, $permissionName]);

return $stmt->fetchColumn() > 0;
}

// Middleware для защиты маршрутов
function requirePermission($permissionName) {
if (!isset($_SESSION['user_id'])) {
header('Location: /login.php');
exit;
}

if (!checkPermission($_SESSION['user_id'], $permissionName)) {
http_response_code(403);
echo json_encode(['error' => 'Доступ запрещен']);
exit;
}
}

// Использование:
// requirePermission('edit_articles');
?>

// Получение прав пользователя с сервера
async function getUserPermissions() {
const response = await makeAuthenticatedRequest('/api/user/permissions');
const data = await response.json();
return data.permissions;
}

// Функция проверки наличия разрешения
function hasPermission(userPermissions, requiredPermission) {
return userPermissions.includes(requiredPermission);
}

// Отображение/скрытие элементов UI в зависимости от прав
async function setupUI() {
const permissions = await getUserPermissions();

// Сохраняем права в памяти
window.userPermissions = permissions;

// Настраиваем интерфейс
document.querySelectorAll('[data-require-permission]').forEach(element => {
const requiredPermission = element.dataset.requirePermission;

if (!hasPermission(permissions, requiredPermission)) {
element.style.display = 'none';
}
});

// Защита маршрутов на клиенте (предварительная проверка)
const restrictedRoutes = {
'/admin': 'admin_panel_access',
'/users/edit': 'edit_users',
'/articles/create': 'create_articles'
};

const currentPath = window.location.pathname;
if (restrictedRoutes[currentPath] && 
!hasPermission(permissions, restrictedRoutes[currentPath])) {
window.location.href = '/forbidden.html';
}
}

// Вызываем настройку UI после загрузки страницы
document.addEventListener('DOMContentLoaded', setupUI);

// Инициализация Firebase
const firebaseConfig = {
apiKey: "ваш_api_key",
authDomain: "ваш_auth_domain",
projectId: "ваш_project_id",
appId: "ваш_app_id"
};

firebase.initializeApp(firebaseConfig);

// Регистрация нового пользователя
function registerWithEmailPassword(email, password) {
firebase.auth().createUserWithEmailAndPassword(email, password)
.then((userCredential) => {
// Пользователь успешно зарегистрирован
const user = userCredential.user;
console.log("Пользователь зарегистрирован:", user);
})
.catch((error) => {
console.error("Ошибка регистрации:", error);
});
}

// Вход существующего пользователя
function loginWithEmailPassword(email, password) {
firebase.auth().signInWithEmailAndPassword(email, password)
.then((userCredential) => {
// Пользователь успешно аутентифицирован
const user = userCredential.user;
console.log("Пользователь вошел:", user);
})
.catch((error) => {
console.error("Ошибка входа:", error);
});
}

// Аутентификация через Google
function loginWithGoogle() {
const provider = new firebase.auth.GoogleAuthProvider();

firebase.auth().signInWithPopup(provider)
.then((result) => {
const user = result.user;
console.log("Вход через Google:", user);
})
.catch((error) => {
console.error("Ошибка входа через Google:", error);
});
}

// Слушатель изменения состояния аутентификации
firebase.auth().onAuthStateChanged((user) => {
if (user) {
// Пользователь вошел в систему
console.log("Текущий пользователь:", user);
// Получение токена для запросов к API
user.getIdToken().then((token) => {
console.log("ID Token:", token);
});
} else {
// Пользователь вышел из системы
console.log("Пользователь не аутентифицирован");
}
});