29、PHP 会话管理与访问控制详解

PHP 会话管理与访问控制详解

1. 会话计数示例

在 PHP 中，除了使用 cookie 来跟踪用户访问页面的次数，还可以使用会话（session）来实现相同的功能。以下是一个简单的会话计数示例代码：

<?php
session_start();
if (!isset($_SESSION['visits'])) {
    $_SESSION['visits'] = 0;
}
$_SESSION['visits'] = $_SESSION['visits'] + 1;
if ($_SESSION['visits'] > 1) {
    echo 'This is visit number ' . $_SESSION['visits'];
} else {
    // First visit
    echo 'Welcome to my website! Click here for a tour!';
}

与使用 cookie 相比，会话的代码更简单。使用 cookie 时，需要计算生命周期并设置过期时间；而会话不需要设置过期时间，但浏览器关闭时，会话中存储的任何数据都会丢失。

2. 访问控制的重要性与方法

在构建数据库驱动的网站时，访问控制至关重要。为了防止网站被黑客攻击，至少需要在访客发布内容之前要求进行用户名和密码认证。主要有两种实现方式：
- 配置 Web 服务器软件 ：对相关页面要求有效的登录。如果可以访问 Web 服务器的配置，这种方式通常易于设置。
- 使用 PHP 进行认证 ：提示用户输入登录凭据并进行检查。这种方式更加灵活，可以设计自己的登录表单，还能轻松更改访问所需的凭据或管理授权用户数据库。

3. 登录流程与实现方式

登录的一般流程是用户提供电子邮件地址和密码。如果数据库中存在匹配的作者记录，则表示用户正确填写了登录表单，需要将用户登录。实现“登录用户”有两种基于 PHP 会话的方法：
1. 设置会话变量作为标志 ：例如， $_SESSION['userid'] = $userId 。在后续请求中，只需检查该变量是否设置，并使用它读取已登录用户的 ID。这种方式性能更好，因为用户凭据仅在提交登录表单时检查一次。
2. 将会话中的凭据与数据库进行比较 ：将会提供的电子邮件地址和密码存储在会话中，在后续请求中检查这些变量是否设置。如果设置了，则将会话中的值与数据库中的值进行比较。这种方式安全性更高，因为每次请求敏感页面时都会检查用户凭据。

一般来说，更安全的选项更可取，因为它允许在用户登录时将其从网站中移除。

4. 密码验证与会话存储

由于数据库中的密码字段存储的是哈希密码，无法解密进行比较，因此使用 password_verify 函数来检查密码。以下是检查密码的示例代码：

$author = $authorsTable->find('email', strtolower($_POST['email']));
if (!empty($author) && password_verify($_POST['password'], $author[0]['password'])) {
    // Login successful
} else {
    // Passwords don't match, an error occurred
}

在验证密码正确后，需要将会话变量写入会话。为了提高安全性，建议将会话中的登录名和密码都存储起来，并在每次页面查看时进行检查。但直接存储明文密码存在安全风险，因此更好的做法是存储数据库中的密码哈希值：

$_SESSION['email'] = $_POST['email'];
$_SESSION['password'] = $author['password'];

在每个页面上，需要运行以下代码来检查会话信息：

$author = $authorsTable->find('email', strtolower($_SESSION['email']));
if (!empty($author) && $author[0]['password'] === $_SESSION['password']) {
    // Display password protected content
} else {
    // Display an error message and log the user out
}

5. 认证类的实现

为了方便重用，将登录和检查登录状态的代码封装在一个 Authentication 类中：

<?php
namespace Ninja;
class Authentication
{
    private $users;
    private $usernameColumn;
    private $passwordColumn;
    public function __construct(DatabaseTable $users, $usernameColumn, $passwordColumn)
    {
        session_start();
        $this->users = $users;
        $this->usernameColumn = $usernameColumn;
        $this->passwordColumn = $passwordColumn;
    }
    public function login($username, $password)
    {
        $user = $this->users->find($this->usernameColumn, strtolower($username));
        if (!empty($user) && password_verify($password, $user[0][$this->passwordColumn])) {
            session_regenerate_id();
            $_SESSION['username'] = $username;
            $_SESSION['password'] = $user[0][$this->passwordColumn];
            return true;
        } else {
            return false;
        }
    }
    public function isLoggedIn()
    {
        if (empty($_SESSION['username'])) {
            return false;
        }
        $user = $this->users->find($this->usernameColumn, strtolower($_SESSION['username']));
        if (!empty($user) && $user[0][$this->passwordColumn] === $_SESSION['password']) {
            return true;
        } else {
            return false;
        }
    }
}

将上述代码保存为 Authentication.php 文件，放在 classes/Ninja 目录下，以便后续使用。该类的构造函数需要三个变量：
- 一个 DatabaseTable 实例，用于存储用户账户的表。
- 存储登录名的列名。
- 存储密码的列名。

通过将这些作为构造函数的参数，而不是硬编码在类中，使得该类可以在任何网站上使用，无论数据库中的列名是什么。

6. 登录后更改会话 ID 的安全性

为了防止会话固定攻击，建议在用户成功登录后更改会话 ID。可以使用 session_regenerate_id 函数来实现：

if (!empty($author) && password_verify($password, $author[0]['password'])) {
    session_regenerate_id();
    $_SESSION['email'] = $email;
    $_SESSION['password'] = $author['password'];
    return true;
}

虽然频繁更改会话 ID 可以提高安全性，但会导致一些实际问题，如在不同标签页打开页面或使用 Ajax 技术时，用户可能会在打开另一个标签页时被注销。因此，这种做法带来的安全收益小于其带来的问题。

7. 保护页面的实现

在完成认证类后，需要在网站中使用它来保护某些页面。例如，当前只有 Joke 控制器， listJokes 方法应该可以在不登录的情况下查看，但添加、编辑或删除笑话的功能应该只对已登录用户可用。

为了实现这一点，可以将 $authentication 实例传递给每个控制器，并在每个控制器操作中添加检查。但这种方法会导致代码重复，更好的方法是调整路由器来执行登录检查，根据情况使用请求的路由或显示错误页面。

以下是具体的操作步骤：
1. 打开 IjdbRoutes.php 文件，为需要保护的路由（如 joke/edit 和 joke/delete ）添加 'login' => true ：

'joke/edit' => [
    'POST' => [
        'controller' => $jokeController,
        'action' => 'saveEdit'
    ],
    'GET' => [
        'controller' => $jokeController,
        'action' => 'edit'
    ],
    'login' => true
],
'joke/delete' => [
    'POST' => [
        'controller' => $jokeController,
        'action' => 'delete'
    ],
    'login' => true
],

2. 添加一个新方法 getAuthentication ，返回网站使用的 Authentication 对象：

public function getAuthentication() {
    $authorsTable = new \Ninja\DatabaseTable($pdo, 'author', 'id');
    return new \Ninja\Authentication($authorsTable, 'email', 'password');
}

3. 将数据库表的构造移到构造函数中，并存储在类变量中，以提高性能和可维护性：

<?php
namespace Ijdb;
class IjdbRoutes implements \Ninja\Routes
{
    private $authorsTable;
    private $jokesTable;
    private $authentication;
    public function __construct()
    {
        include __DIR__ . '/../../includes/DatabaseConnection.php';
        $this->jokesTable = new \Ninja\DatabaseTable($pdo, 'joke', 'id');
        $this->authorsTable = new \Ninja\DatabaseTable($pdo, 'author', 'id');
        $this->authentication = new \Ninja\Authentication($this->authorsTable, 'email', 'password');
    }
    public function getRoutes()
    {
        $jokeController = new \Ijdb\Controllers\Joke($this->jokesTable, $this->authorsTable);
        $authorController = new \Ijdb\Controllers\Register($this->authorsTable);
        $routes = [
            'author/register' => [
                'GET' => [
                    'controller' => $authorController,
                    'action' => 'registrationForm'
                ],
                'POST' => [
                    'controller' => $authorController,
                    'action' => 'registerUser'
                ]
            ],
            'author/success' => [
                'GET' => [
                    'controller' => $authorController,
                    'action' => 'success'
                ]
            ],
            'joke/edit' => [
                'POST' => [
                    'controller' => $jokeController,
                    'action' => 'saveEdit'
                ],
                'GET' => [
                    'controller' => $jokeController,
                    'action' => 'edit'
                ],
                'login' => true
            ],
            'joke/delete' => [
                'POST' => [
                    'controller' => $jokeController,
                    'action' => 'delete'
                ],
                'login' => true
            ],
            'joke/list' => [
                'GET' => [
                    'controller' => $jokeController,
                    'action' => 'list'
                ]
            ],
            '' => [
                'GET' => [
                    'controller' => $jokeController,
                    'action' => 'home'
                ]
            ]
        ];
        return $routes;
    }
    public function getAuthentication()
    {
        return $this->authentication;
    }
}

通过以上步骤，可以有效地保护网站的敏感页面，确保只有授权用户才能访问。

下面是一个登录流程的 mermaid 流程图：

graph TD;
    A[用户输入邮箱和密码] --> B{数据库中是否有匹配记录};
    B -- 是 --> C{密码是否正确};
    B -- 否 --> D[登录失败，显示错误信息];
    C -- 是 --> E[设置会话变量，登录成功];
    C -- 否 --> D;
    E --> F[更改会话 ID];
    F --> G[访问网站内容];

综上所述，通过合理使用 PHP 会话和访问控制机制，可以提高网站的安全性和用户体验。在实际开发中，应根据具体需求选择合适的方法，并注意代码的可维护性和性能。

PHP 会话管理与访问控制详解

8. 访问控制的优势总结

通过上述的会话管理和访问控制实现，我们可以总结出以下优势：
| 优势 | 描述 |
| ---- | ---- |
| 安全性提升 | 采用密码哈希存储和会话验证，防止密码泄露和会话固定攻击，增强网站整体安全性。 |
| 灵活性增强 | 可根据不同网站需求，灵活配置认证类的参数，适应各种数据库表结构。 |
| 代码复用性高 | 将访问控制代码封装在类中，便于在不同页面和项目中复用。 |
| 用户体验优化 | 避免用户频繁输入登录凭据，提供更流畅的访问体验。 |

9. 不同登录实现方式的对比

为了更清晰地了解两种登录实现方式的差异，以下是一个对比表格：
| 实现方式 | 性能 | 安全性 | 适用场景 |
| ---- | ---- | ---- | ---- |
| 设置会话变量作为标志 | 高，仅在登录时检查凭据 | 低，登录后凭据不再检查 | 对性能要求高，安全性要求相对较低的场景 |
| 将会话中的凭据与数据库进行比较 | 低，每次请求敏感页面都检查凭据 | 高，可随时移除登录用户 | 对安全性要求高的场景 |

10. 会话管理与访问控制的最佳实践

在实际应用中，为了更好地实现会话管理和访问控制，建议遵循以下最佳实践：
1. 使用安全的密码哈希 ：始终使用 password_hash 函数对密码进行哈希处理，并使用 password_verify 函数进行验证。
2. 定期更新会话 ID ：在用户登录和敏感操作后，及时更新会话 ID，防止会话固定攻击。
3. 合理设置会话过期时间 ：根据网站需求，合理设置会话过期时间，避免会话长时间保持活跃。
4. 对敏感页面进行访问控制 ：确保只有授权用户才能访问敏感页面，防止信息泄露。
5. 代码复用与模块化 ：将访问控制代码封装在类中，提高代码的复用性和可维护性。

11. 进一步优化建议

为了进一步提升网站的安全性和性能，可以考虑以下优化建议：
- 多因素认证 ：结合短信验证码、指纹识别等多因素认证方式，增加登录的安全性。
- IP 地址限制 ：限制特定 IP 地址的访问，防止恶意攻击。
- 日志记录 ：记录用户的登录和操作日志，便于后续审计和安全分析。

12. 总结与展望

通过本文的介绍，我们了解了 PHP 会话管理和访问控制的基本原理和实现方法。通过合理使用会话和访问控制机制，可以有效地保护网站的敏感信息，提高用户体验。

在未来的开发中，随着网络安全威胁的不断增加，我们需要不断探索新的安全技术和方法，以应对日益复杂的安全挑战。同时，也需要关注用户体验，在保证安全的前提下，提供更加便捷、高效的服务。

下面是一个会话管理与访问控制的整体 mermaid 流程图：

graph LR;
    A[用户访问网站] --> B{是否需要登录};
    B -- 是 --> C[显示登录页面];
    B -- 否 --> D[访问公开页面];
    C --> E[用户输入凭据];
    E --> F{凭据是否正确};
    F -- 是 --> G[设置会话变量，登录成功];
    F -- 否 --> H[显示错误信息，重新登录];
    G --> I{是否访问敏感页面};
    I -- 是 --> J{会话信息是否有效};
    J -- 是 --> K[访问敏感页面];
    J -- 否 --> L[登出，显示错误信息];
    I -- 否 --> D;

通过以上的介绍和分析，希望能够帮助开发者更好地理解和应用 PHP 会话管理和访问控制技术，为网站的安全和稳定运行提供保障。