Реализация регистрации пользователя на сайте

Реализация регистрации пользователя на сайте

Регистрация — первое взаимодействие пользователя с системой аутентификации. Здесь закладывается структура таблицы users, логика верификации email, политика паролей и защита от автоматических регистраций. Большинство проблем безопасности, которые всплывают позже, тянутся именно отсюда.

Структура таблицы пользователей

Минимальная схема, которая покрывает большинство сценариев:

CREATE TABLE users (
    id          BIGSERIAL PRIMARY KEY,
    email       VARCHAR(255) NOT NULL UNIQUE,
    password    VARCHAR(255),               -- NULL при OAuth-регистрации
    name        VARCHAR(255),
    email_verified_at TIMESTAMP,
    status      VARCHAR(20) NOT NULL DEFAULT 'pending',
    remember_token VARCHAR(100),
    created_at  TIMESTAMP DEFAULT NOW(),
    updated_at  TIMESTAMP DEFAULT NOW()
);

CREATE INDEX idx_users_email ON users(email);
CREATE INDEX idx_users_status ON users(status);

Поле password — nullable, потому что пользователь может зарегистрироваться через социальный провайдер без пароля. status принимает значения pending (email не подтверждён), active, banned, deleted (soft delete).

Хэширование пароля

bcrypt с cost factor 12 — текущий стандарт. В PHP это password_hash($password, PASSWORD_BCRYPT, ['cost' => 12]). В Node.js — bcrypt.hash(password, 12). Argon2id предпочтительнее по безопасности, но bcrypt достаточен и повсеместно поддерживается.

Никогда не хранить пароль в открытом виде, не логировать входящие данные формы, не передавать пароль в URL-параметрах. Это очевидно, но нарушается регулярно.

Валидация на бэкенде

Валидация на фронте — для UX. Валидация на бэкенде — для безопасности. Обе обязательны, они не заменяют друг друга.

// Laravel FormRequest
class RegisterRequest extends FormRequest
{
    public function rules(): array
    {
        return [
            'email'    => ['required', 'email:rfc,dns', 'max:255', 'unique:users,email'],
            'password' => ['required', 'min:8', 'max:72', 'confirmed', Password::defaults()],
            'name'     => ['required', 'string', 'max:255'],
        ];
    }
}

email:rfc,dns — проверяет формат по RFC и существование MX-записи домена. Это отсеивает несуществующие домены ещё до отправки письма. max:72 для пароля — ограничение bcrypt (обрезает строки длиннее 72 байт).

Для политики паролей в Laravel есть Password::min(8)->letters()->mixedCase()->numbers(). Не переусердствуйте с требованиями — NIST SP 800-63B рекомендует длину важнее сложности.

Верификация email

Без верификации email можно зарегистрироваться с чужим адресом, получить уведомления на чужой ящик, забить базу мусором. Верификация обязательна везде, где email используется как идентификатор.

Токен верификации — это подписанная ссылка с TTL:

// Генерация ссылки
$verifyUrl = URL::temporarySignedRoute(
    'verification.verify',
    now()->addHours(24),
    ['id' => $user->id, 'hash' => sha1($user->email)]
);

// Обработка перехода
public function verify(Request $request): RedirectResponse
{
    if (! hash_equals(sha1($request->user()->email), $request->hash)) {
        abort(403);
    }

    $request->user()->markEmailAsVerified();

    return redirect('/dashboard')->with('status', 'email-verified');
}

Временная подписанная ссылка лучше хранения токена в БД — не нужна отдельная таблица, ссылка самодостаточна и истекает автоматически.

Защита от ботов и злоупотреблений

Rate limiting: не более 5 попыток регистрации с одного IP за 10 минут. В Laravel:

RateLimiter::for('register', function (Request $request) {
    return Limit::perMinutes(10, 5)->by($request->ip());
});

Honeypot: скрытое поле формы, которое боты заполняют, а люди нет:

<input type="text" name="website" style="display:none" tabindex="-1" autocomplete="off">

На бэкенде: если website не пустой — молча отклонить.

CAPTCHA: reCAPTCHA v3 (score-based, без пользовательского взаимодействия) или hCaptcha. Включать при аномальной активности, не по умолчанию — CAPTCHA снижает конверсию.

Регистрация через социальные сети

OAuth-регистрация через Google, GitHub, VK — пользователи предпочитают её, потому что не нужно придумывать пароль. Логика обработки:

public function handleOAuthCallback(string $provider): RedirectResponse
{
    $socialUser = Socialite::driver($provider)->user();

    $user = User::where('email', $socialUser->getEmail())->first();

    if ($user) {
        // Уже существует — привязываем провайдер
        $user->oauthProviders()->updateOrCreate(
            ['provider' => $provider],
            ['provider_id' => $socialUser->getId()]
        );
    } else {
        // Новый пользователь
        $user = User::create([
            'email'             => $socialUser->getEmail(),
            'name'              => $socialUser->getName(),
            'email_verified_at' => now(), // email уже верифицирован OAuth-провайдером
            'status'            => 'active',
        ]);
    }

    Auth::login($user);
    return redirect('/dashboard');
}

Важно: если email от OAuth совпадает с существующим аккаунтом с паролем — не создавать дубль, а привязывать провайдера к существующему аккаунту.

Пост-регистрационный flow

После успешной регистрации типовой сценарий:

1. Отправить приветственное письмо с верификационной ссылкой
2. Создать начальные данные пользователя (профиль, настройки по умолчанию)
3. Перенаправить на дашборд или на страницу «проверьте почту»
4. Опционально: onboarding wizard при первом входе

Письмо отправляется через очередь, не синхронно — иначе задержка SMTP блокирует ответ пользователю.

Типичное время реализации базовой регистрации с верификацией email — 1–2 рабочих дня. С OAuth-провайдерами — ещё 1 день на каждый.