PHP 安全認證與授權方法-php教程-PHP中文網

在 PHP 中，實作認證和授權至關重要。本文探討了 HTTP 基本認證、表單認證、角色授權和資源授權等方法，並透過實戰案例說明如何在實際應用程式中整合這些方法，從而實現安全的使用者驗證和存取控制。

PHP 安全认证与授权方法

PHP 安全性認證與授權方法

在PHP 中，實現安全認證與授權對於建置安全性的Web 應用程式至關重要。本文將探討廣泛使用的認證和授權方法，並提供實戰案例以輔助理解。

認證：驗證使用者身分

1. HTTP 基本認證

透過使用者名稱和密碼進行認證。它簡單且易於實現，但安全性較低，因為密碼以明文形式在 HTTP 頭中傳輸。

程式碼範例：

// 发送 HTTP 基本认证头 header('WWW-Authenticate: Basic realm="Protected Area"'); header('HTTP/1.0 401 Unauthorized'); // 验证提供的凭据 if (isset($_SERVER['PHP_AUTH_USER']) && isset($_SERVER['PHP_AUTH_PW'])) { $username = $_SERVER['PHP_AUTH_USER']; $password = $_SERVER['PHP_AUTH_PW']; // 在数据库中查找用户 $stmt = $mysqli->prepare("SELECT * FROM users WHERE username=? AND password=?"); $stmt->bind_param("ss", $username, $password); $stmt->execute(); $result = $stmt->get_result(); $stmt->close(); if ($result->num_rows > 0) { // 验证成功，允许访问 } else { // 验证失败，显示 401 未授权响应 echo "Unauthorized Access"; } }

登入後複製

2. 表單認證

一種傳統的認證方法，允許使用者使用表單提交使用者名稱和密碼。

程式碼範例：

// 处理登录表单提交 if (isset($_POST['username']) && isset($_POST['password'])) { $username = $_POST['username']; $password = $_POST['password']; // 在数据库中查找用户 $stmt = $mysqli->prepare("SELECT * FROM users WHERE username=? AND password=?"); $stmt->bind_param("ss", $username, $password); $stmt->execute(); $result = $stmt->get_result(); $stmt->close(); if ($result->num_rows > 0) { // 验证成功，创建身份验证会话 session_start(); $_SESSION['authenticated'] = true; // 重定向到受保护区域 header("Location: protected_area.php"); } else { // 验证失败，显示错误消息 echo "Invalid username or password"; } }

登入後複製

授權：控制使用者存取

1. 角色授權

根據指派給使用者的角色來授予存取權限。

程式碼範例：

// 检查用户是否具有访问特定受保护区域所需的权限 if (isset($_SESSION['user_role']) && $_SESSION['user_role'] == 'admin') { // 允许访问 }

登入後複製

2.資源授權

控制特定資源（如檔案或資料庫記錄）的訪問權限。

程式碼範例：

// 根据用户 ID 检查文件访问权限 $path = '/uploads/' . $_GET['file_id']; if (file_exists($path) && is_file($path)) { $fileOwner = 'user_' . $_GET['user_id']; if (fileowner($path) == $fileOwner) { // 允许访问文件 } }

登入後複製

實戰案例

以下是如何將這些認證和授權方法整合到一個實際範例中：

一個簡單的留言板應用程式