PHP のセキュリティ認証および認可方法-PHPチュートリアル-php.cn

PHP のセキュリティ認証および認可方法

WBOY

リリース： 2024-05-01 14:48:02

オリジナル

351 人が閲覧しました

PHP では、認証と認可を実装することが重要です。この記事では、HTTP 基本認証、フォーム認証、ロール認可、リソース認可などの方法を検討し、実践的な事例を使用してこれらの方法を実際のアプリケーションに統合して安全なユーザー認証とアクセス制御を実現する方法を説明します。

PHP 安全认证与授权方法

#PHP のセキュリティ認証と認可の方法

PHP では、セキュリティ認証と認可の実装は、安全な Web アプリケーションを構築するために不可欠です。重要。この記事では、広く使用されている認証および認可方法を検討し、理解を助けるための実践的な例を示します。

認証: ユーザー ID の確認

1. HTTP 基本認証

ユーザー名とパスワードによる認証。シンプルで実装は簡単ですが、パスワードが HTTP ヘッダー内のクリアテキストで送信されるため、安全性は低くなります。

コード例:

// 发送 HTTP 基本认证头
header('WWW-Authenticate: Basic realm="Protected Area"');
header('HTTP/1.0 401 Unauthorized');

// 验证提供的凭据
if (isset($_SERVER['PHP_AUTH_USER']) && isset($_SERVER['PHP_AUTH_PW'])) {
    $username = $_SERVER['PHP_AUTH_USER'];
    $password = $_SERVER['PHP_AUTH_PW'];

    // 在数据库中查找用户
    $stmt = $mysqli->prepare("SELECT * FROM users WHERE username=? AND password=?");
    $stmt->bind_param("ss", $username, $password);
    $stmt->execute();
    $result = $stmt->get_result();
    $stmt->close();

    if ($result->num_rows > 0) {
        // 验证成功，允许访问
    } else {
        // 验证失败，显示 401 未授权响应
        echo "Unauthorized Access";
    }
}

ログイン後にコピー

2. フォーム認証

ユーザーがフォームを使用して送信できるようにする従来の認証方法ユーザー名とパスワード。

コード例:

// 处理登录表单提交
if (isset($_POST['username']) && isset($_POST['password'])) {
    $username = $_POST['username'];
    $password = $_POST['password'];

    // 在数据库中查找用户
    $stmt = $mysqli->prepare("SELECT * FROM users WHERE username=? AND password=?");
    $stmt->bind_param("ss", $username, $password);
    $stmt->execute();
    $result = $stmt->get_result();
    $stmt->close();

    if ($result->num_rows > 0) {
        // 验证成功，创建身份验证会话
        session_start();
        $_SESSION['authenticated'] = true;

        // 重定向到受保护区域
        header("Location: protected_area.php");
    } else {
        // 验证失败，显示错误消息
        echo "Invalid username or password";
    }
}

ログイン後にコピー

認可: ユーザーアクセスの制御

1. ロール認可

アクセスは、ユーザーに割り当てられたロールに基づいて付与されます。

コード例:

// 检查用户是否具有访问特定受保护区域所需的权限
if (isset($_SESSION['user_role']) && $_SESSION['user_role'] == 'admin') {
    // 允许访问
}

ログイン後にコピー

2. リソースの承認

特定のリソース (ファイルやデータベースレコードなど) へのアクセスを制御します。 ) 権限。

コード例:

// 根据用户 ID 检查文件访问权限
$path = '/uploads/' . $_GET['file_id'];
if (file_exists($path) && is_file($path)) {
    $fileOwner = 'user_' . $_GET['user_id'];
    if (fileowner($path) == $fileOwner) {
        // 允许访问文件
    }
}

ログイン後にコピー

実践例

これらの認証および認可メソッドを実践的な例に統合する方法を次に示します。中:

シンプルなメッセージボードアプリケーション