Где обычно размещается логика авторизации?

Логика авторизации в PHP Backend: архитектура и расположение

В современной разработке на PHP логика авторизации распределяется между несколькими слоями приложения, следуя принципам разделения ответственности и безопасности.

Основные места размещения

1. Middleware (Промежуточное ПО)

Наиболее распространенное и правильное место для базовой проверки аутентификации. Middleware исполняется перед контроллерами и проверяет наличие валидных учетных данных.

<?php
// Laravel-style middleware пример
class AuthMiddleware
{
    public function handle($request, Closure $next)
    {
        if (!Auth::check()) {
            return response()->json(['error' => 'Unauthorized'], 401);
        }
        
        return $next($request);
    }
}

В этом слое проверяется:

• Наличие JWT-токена в заголовках
• Валидность сессионной cookie
• Состояние аутентификации пользователя

2. Сервисный слой (Service Layer)

Для сложной бизнес-логики авторизации (проверка прав доступа к конкретным ресурсам) используется сервисный слой:

<?php
class AuthorizationService
{
    public function canUserEditPost(User $user, Post $post): bool
    {
        // Комплексная логика проверки прав
        return $user->id === $post->user_id 
            || $user->hasRole('admin')
            || $user->hasPermission('edit_any_post');
    }
}

3. Контроллеры (Controllers)

В контроллерах осуществляется тонкая настройка и вызов сервисов авторизации:

<?php
class PostController extends Controller
{
    public function update(Request $request, Post $post)
    {
        // Делегирование проверки сервису
        if (!app(AuthorizationService::class)->canUserEditPost(auth()->user(), $post)) {
            abort(403, 'Insufficient permissions');
        }
        
        // Основная логика контроллера
    }
}

4. Шлюзы и политики (Gates & Policies)

В фреймворках типа Laravel применяются декларативные подходы:

<?php
// Policy для модели Post
class PostPolicy
{
    public function update(User $user, Post $post): bool
    {
        return $user->id === $post->user_id;
    }
}

// Использование в контроллере
$this->authorize('update', $post);

Ключевые компоненты системы авторизации

• Провайдеры аутентификации - отвечают за извлечение учетных данных из запроса
• Гварды (Guards) - определяют, как пользователи аутентифицируются для каждого запроса
• Драйверы хранения (session, token) - управляют состоянием аутентификации
• Менеджер прав (ACL/RBAC) - система управления ролями и разрешениями

Паттерны и лучшие практики

1. Принцип наименьших привилегий - пользователь получает минимально необходимые права
2. Явное разрешение (whitelisting) - по умолчанию доступ запрещен, разрешения указываются явно
3. Разделение аутентификации и авторизации:
   • Аутентификация - кто вы? (проверка личности)
   • Авторизация - что вам разрешено? (проверка прав)

Типичный поток запроса

Запрос → Middleware (базовая аутентификация) → Контроллер → Сервис авторизации (проверка прав) → Выполнение действия

Распространенные ошибки размещения

• ❌ Прямая проверка в представлениях (view) - нарушает MVC
• ❌ Дублирование логики в разных контроллерах - ведет к несогласованности
• ❌ Жесткая привязка к конкретной реализации - усложняет тестирование и модификацию

Современные тенденции

• Микросервисная архитектура - вынос авторизации в отдельный сервис (например, OAuth2-сервер)
• Zero-Trust Security - постоянная проверка прав для каждого запроса
• JWT-токены с коротким временем жизни и refresh-механизмом

Вывод: Логика авторизации в PHP-приложениях должна быть многоуровневой, с четким разделением ответственности между middleware (базовая проверка), сервисным слоем (бизнес-правила) и политиками (декларативные проверки). Это обеспечивает безопасность, поддерживаемость и тестируемость кода.