Реєстрація користувача на сайті: реалізація під ключ

CREATE TABLE users ( id BIGSERIAL PRIMARY KEY, email VARCHAR(255) NOT NULL UNIQUE, password VARCHAR(255), name VARCHAR(255), email_verified_at TIMESTAMP, status VARCHAR(20) NOT NULL DEFAULT 'pending', remember_token VARCHAR(100), created_at TIMESTAMP DEFAULT NOW(), updated_at TIMESTAMP DEFAULT NOW() ); CREATE INDEX idx_users_email ON users(email); CREATE INDEX idx_users_status ON users(status); 

Поле password nullable — тому що користувач може зареєструватися через соціального провайдера без пароля. status приймає значення pending (email не підтверджено), active, banned, deleted. Така структура гнучка і підходить для більшості проєктів.

Чому важливий вибір алгоритму хешування паролів?

Згідно з OWASP Authentication Cheat Sheet, bcrypt з cost factor 12 — поточний стандарт. У PHP це password_hash($password, PASSWORD_BCRYPT, ['cost' => 12]). У Node.js — bcrypt.hash(password, 12). Argon2id кращий з безпекової точки зору, але bcrypt достатній і повсюдно підтримується.

Ніколи не зберігати пароль у відкритому вигляді, не логувати вхідні дані форми, не передавати пароль у URL-параметрах. Це очевидно, але порушується регулярно. В одному з проєктів ми зіткнулися з тим, що паролі зберігалися в логах застосунку — довелося переробляти всю систему аудиту.

Обов'язкові правила валідації на бекенді

Валідація на фронті — для UX. Валідація на бекенді — для безпеки. Форма реєстрації повинна перевіряти кожне введення на рівні сервера.

// Laravel FormRequest class RegisterRequest extends FormRequest { public function rules(): array { return [ 'email' => ['required', 'email:rfc,dns', 'max:255', 'unique:users,email'], 'password' => ['required', 'min:8', 'max:72', 'confirmed', Password::defaults()], 'name' => ['required', 'string', 'max:255'], ]; } } 

email:rfc,dns — перевіряє формат за RFC та існування MX-запису домену. Це відсіває неіснуючі домени ще до відправки листа. max:72 для пароля — обмеження bcrypt (обрізає рядки довші за 72 байти).

Для політики паролів у Laravel є Password::min(8)->letters()->mixedCase()->numbers(). Не перестарайтеся з вимогами — NIST SP 800-63B рекомендує довжину важливішою за складність.

Як працює верифікація email?

Без верифікації email можна зареєструватися з чужою адресою, отримувати сповіщення на чужу скриньку, забити базу сміттям. Верифікація обов'язкова всюди, де email використовується як ідентифікатор.

Токен верифікації — це підписане посилання з TTL. У Laravel:

// Генерація посилання $verifyUrl = URL::temporarySignedRoute( 'verification.verify', now()->addHours(24), ['id' => $user->id, 'hash' => sha1($user->email)] ); 

Тимчасове підписане посилання краще за зберігання токена в БД — не потрібна окрема таблиця, посилання самодостатнє і закінчується автоматично.

Як захистити реєстрацію від автоматичних атак?

Використовуємо комбінацію методів: rate limiting, honeypot та адаптивну CAPTCHA. Вони ефективно блокують автоматичні реєстрації, не погіршуючи користувацький досвід.

Rate limiting: не більше 5 спроб реєстрації з одного IP за 10 хвилин. У Laravel:

RateLimiter::for('register', function (Request $request) { return Limit::perMinutes(10, 5)->by($request->ip()); }); 

Honeypot: приховане поле форми, яке боти заповнюють, а люди ні. На бекенді: якщо поле не пусте — мовчки відхилити.

CAPTCHA: reCAPTCHA v3 (score-based, без взаємодії) або hCaptcha. Вмикати при аномальній активності, не за замовчуванням — CAPTCHA знижує конверсію.

Порівняння методів:

Рекомендуємо використовувати honeypot завжди, rate limiting — обов'язково, CAPTCHA — лише при підозрі на атаку.

Реєстрація через соцмережі (OAuth)

OAuth-реєстрація через Google, GitHub, VK — користувачі надають їй перевагу, тому що не потрібно вигадувати пароль. Протокол OAuth забезпечує безпечну аутентифікацію користувачів.

public function handleOAuthCallback(string $provider): RedirectResponse { $socialUser = Socialite::driver($provider)->user(); $user = User::where('email', $socialUser->getEmail())->first(); if ($user) { // Прив'язуємо провайдера до існуючого облікового запису $user->oauthProviders()->updateOrCreate( ['provider' => $provider], ['provider_id' => $socialUser->getId()] ); } else { // Новий користувач $user = User::create([ 'email' => $socialUser->getEmail(), 'name' => $socialUser->getName(), 'email_verified_at' => now(), // email вже верифікований OAuth-провайдером 'status' => 'active', ]); } Auth::login($user); return redirect('/dashboard'); } 

Важливо: якщо email від OAuth збігається з існуючим обліковим записом з паролем — не створювати дубль, а прив'язувати провайдера.

Як організувати пост-реєстраційний flow

Після успішної реєстрації виконуємо три кроки:

1. Відправити вітальний лист з верифікаційним посиланням (через чергу, не синхронно)
2. Створити початкові дані користувача (профіль, налаштування за замовчуванням)
3. Перенаправити на дашборд або на сторінку «перевірте пошту»

Що входить у реалізацію реєстрації під ключ

• Повністю робочий модуль реєстрації з верифікацією email та захистом від ботів
• Налаштування OAuth-провайдерів (до 5 популярних сервісів)
• Готова структура бази даних з індексами
• Документація з експлуатації та безпеки
• Код-рев'ю та навантажувальне тестування
• Гарантія на код 6 місяців

Процес роботи

Загальна тривалість — від 7 до 14 робочих днів залежно від складності. Отримайте консультацію інженера. Зв'яжіться з нами, щоб обговорити ваш проєкт та отримати точну оцінку. Замовте впровадження реєстрації під ключ — ми підготуємо пропозицію для вашого проєкту.