רישום משתמשים: הטמעה סוהר

CREATE TABLE users (
    id BIGSERIAL PRIMARY KEY,
    email VARCHAR(255) NOT NULL UNIQUE,
    password VARCHAR(255),
    name VARCHAR(255),
    email_verified_at TIMESTAMP,
    status VARCHAR(20) NOT NULL DEFAULT 'pending',
    remember_token VARCHAR(100),
    created_at TIMESTAMP DEFAULT NOW(),
    updated_at TIMESTAMP DEFAULT NOW()
);
CREATE INDEX idx_users_email ON users(email);
CREATE INDEX idx_users_status ON users(status);

השדה CREATE TABLE users ( id BIGSERIAL PRIMARY KEY, email VARCHAR(255) NOT NULL UNIQUE, password VARCHAR(255), name VARCHAR(255), email_verified_at TIMESTAMP, status VARCHAR(20) NOT NULL DEFAULT 'pending', remember_token VARCHAR(100), created_at TIMESTAMP DEFAULT NOW(), updated_at TIMESTAMP DEFAULT NOW() ); CREATE INDEX idx_users_email ON users(email); CREATE INDEX idx_users_status ON users(status); הוא nullable מכיוון שמשתמש עשוי להירשם דרך ספק חברתי ללא סיסמה. שדה הסטטוס מקבל ערכים password (אימייל לא מאומת), status, pending, active. מבנה זה גמיש ומתאים לרוב הפרויקטים.

למה חשוב לבחור אלגוריתם גיבוב סיסמאות

לפי OWASP Authentication Cheat Sheet, bcrypt עם פקטור עלות 12 הוא הסטנדרט הנוכחי. ב-PHP, זה banned. ב-Node.js, deleted. Argon2id מאובטח יותר, אבל bcrypt מספיק ונתמך באופן נרחב.

לעולם אל תאחסן סיסמאות בטקסט פשוט, לעולם אל תתעד נתוני טפסים נכנסים, ולעולם אל תעביר סיסמאות בפרמטרי URL. אלה דברים מובנים מאליהם אך לעתים קרובות מופרים. בפרויקט אחד, מצאנו סיסמאות שנשמרו ביומני היישום — נאלצנו לשפץ את כל מערכת הביקורת.

כללי ולידציה חובה בצד השרת

ולידציה בצד הלקוח היא לחוויית משתמש; ולידציה בצד השרת היא לאבטחה. טופס רישום חייב לבדוק כל קלט בצד השרת.

// Laravel FormRequest class
RegisterRequest extends FormRequest
{
    public function rules(): array
    {
        return [
            'email' => ['required', 'email:rfc,dns', 'max:255', 'unique:users,email'],
            'password' => ['required', 'min:8', 'max:72', 'confirmed', Password::defaults()],
            'name' => ['required', 'string', 'max:255'],
        ];
    }
}

password_hash($password, PASSWORD_BCRYPT, ['cost' => 12]) בודק את הפורמט לפי RFC ואת קיומו של רשומת MX של הדומיין. זה מסנן 99.9% מהדומיינים הלא קיימים לפני שליחת אימייל. bcrypt.hash(password, 12) לסיסמה הוא מגבלת bcrypt (הוא חותך מחרוזות ארוכות מ-72 בתים).

למדיניות סיסמאות ב-Laravel, יש // Laravel FormRequest class RegisterRequest extends FormRequest { public function rules(): array { return [ 'email' => ['required', 'email:rfc,dns', 'max:255', 'unique:users,email'], 'password' => ['required', 'min:8', 'max:72', 'confirmed', Password::defaults()], 'name' => ['required', 'string', 'max:255'], ]; } } . אל תגזים בדרישות — NIST SP 800-63B ממליץ על אורך על פני מורכבות.

איך עובד אימות אימייל

ללא אימות אימייל, משתמשים יכולים להירשם עם כתובת של מישהו אחר, לקבל הודעות על תיבת דואר של מישהו אחר, ולסתום את מסד הנתונים בזבל. אימות הוא חובה בכל מקום שבו אימייל משמש כמזהה.

אסימון האימות הוא URL חתום עם TTL. ב-Laravel:

// Генерация ссылки
$verifyUrl = URL::temporarySignedRoute(
    'verification.verify',
    now()->addHours(24),
    ['id' => $user->id, 'hash' => sha1($user->email)]
);

URL חתום זמני עדיף על אחסון אסימון במסד הנתונים — אין צורך בטבלה נפרדת, הקישור מכיל את עצמו ופג אוטומטית.

איך להגן על רישום מפני התקפות אוטומטיות

אנו משתמשים בשילוב של שיטות: הגבלת קצב, honeypot ו-CAPTCHA אדפטיבי. הם חוסמים ביעילות 99% מהרישומים האוטומטיים מבלי לפגוע בחוויית המשתמש.

הגבלת קצב: לא יותר מ-5 ניסיונות רישום מכתובת IP אחת ב-10 דקות. ב-Laravel:

RateLimiter::for('register', function (Request $request) {
    return Limit::perMinutes(10, 5)->by($request->ip());
});

Honeypot: שדה טופס נסתר שבוטים ממלאים, אבל בני אדם לא. בצד השרת: אם השדה לא ריק, דחה בשקט. זה תופס 95% מהבוטים.

CAPTCHA: reCAPTCHA v3 (מבוסס ציון, ללא אינטראקציה) או hCaptcha. הפעל אותו רק בפעילות חריגה, לא כברירת מחדל — CAPTCHA מפחית המרה ב-5-10%.

השוואת שיטות:

אנו ממליצים להשתמש ב-honeypot תמיד, בהגבלת קצב כחובה, וב-CAPTCHA רק כשחשוד בהתקפה.

התחברות חברתית (OAuth)

רישום OAuth דרך Google, GitHub, VK — 70% מהמשתמשים מעדיפים אותו כי הם לא צריכים להמציא סיסמה. פרוטוקול OAuth מספק אימות משתמש מאובטח.

public function handleOAuthCallback(string $provider): RedirectResponse
{
    $socialUser = Socialite::driver($provider)->user();
    $user = User::where('email', $socialUser->getEmail())->first();

    if ($user) {
        // Привязываем провайдер к существующему аккаунту
        $user->oauthProviders()->updateOrCreate(
            ['provider' => $provider],
            ['provider_id' => $socialUser->getId()]
        );
    } else {
        // Новый пользователь
        $user = User::create([
            'email' => $socialUser->getEmail(),
            'name' => $socialUser->getName(),
            'email_verified_at' => now(), // email уже верифицирован OAuth-провайдером
            'status' => 'active',
        ]);
    }

    Auth::login($user);
    return redirect('/dashboard');
}

חשוב: אם האימייל של OAuth תואם לחשבון קיים עם סיסמה — אל תיצור כפילות, אלא חבר את הספק.

תהליך לאחר רישום

לאחר רישום מוצלח, אנו מבצעים שלושה שלבים:

1. שליחת אימייל קבלת פנים עם קישור אימות (דרך תור, לא באופן סינכרוני)
2. יצירת נתוני משתמש ראשוניים (פרופיל, הגדרות ברירת מחדל)
3. הפנייה ללוח בקרה או לדף "בדוק את האימייל שלך"

תהליך הטמעה שלב אחר שלב

1. ניתוח דרישות (1-2 ימים): הגדרת שדות חובה, ספקי OAuth, דרישות אבטחה.
2. עיצוב מסד נתונים וארכיטקטורה (1-2 ימים): יצירת דיאגרמת ER, הגדרת אינדקסים, תכנון מערכת תורים.
3. הטמעת רישום ליבה (3-5 ימים): בניית טופס, ולידציה, אימות אימייל, הגבלת קצב, honeypot.
4. אינטגרציית OAuth (1-2 ימים לספק): הוספת התחברות חברתית לעד 5 ספקים.
5. בדיקות וניפוי באגים (1-2 ימים): בדיקות יחידה, בדיקות עומס (1000+ בקשות במקביל), ביקורת אבטחה.
6. פריסה ומסירה (יום אחד): פריסה לייצור, מתן תיעוד, הדרכת צוות.

משך כולל: 7 עד 14 ימי עסקים בהתאם למורכבות.

מה כלול ברישום במפתח פתוח

• מודול רישום פונקציונלי מלא עם אימות אימייל והגנה מפני בוטים
• הגדרת ספקי OAuth (עד 5 שירותים פופולריים)
• מבנה מסד נתונים מוכן עם אינדקסים
• תיעוד תפעולי ואבטחה
• ביקורת קוד ובדיקות עומס
• אחריות קוד ל-6 חודשים
• עלות התחלתית: 1,500 דולר לבסיסי; חבילה מלאה 5,000 דולר

סקירת תהליך

קבלו ייעוץ ממהנדס. צרו קשר כדי לדון בפרויקט שלכם ולקבל הערכה מדויקת. הזמינו הטמעת רישום במפתח פתוח — נכין הצעה לפרויקט שלכם.