Laravel ログイン機能の実装

Question

#はじめに

• Laravelにて、CRUD系のアプリを作っています。
• ユーザ回りの機能を実装し始めて、認証がうまくできないため困っています。
• Authファサードをつかえるようにして、Auth::attemptを利用するやり方を採用しています。
• ちなみに、「$php artisan make:auth」でログイン機能を作れることを後から知り、かつ

　そのほうがセキュアな気もしますが、とりあえず始めてしまったのでこの方法でトライさせてください。

#コード

//登録ページの処理、パスワードはハッシュ化しています
public function store(Request $request){
    $name = $request->input('name');
    $email = $request->input('email');
    $password = Hash::make($request->input('password'));
    $this->validate($request, [
      'name' => 'required|unique:user|max:255',
      'email' => 'required|unique:user|max:60',
      'password' => 'required|max:60'
    ]);
    DB::table('user')
          ->insertGetId(['name' => $name, 'email' => $email, 'password' => $password]);
    $request->session()->flash('flash', 'You are Registered Now');
    return redirect()->to('database/');
  }

//認証ページの処理です
public function authenticate(Request $request){
    $email = $request->input('email');
    $password = $request->input('password');
    $credidentials = ['email' => $email, 'password' => $password];
    if (Auth::attempt($credidentials)){
      $request->session()->flash('flash', 'Log in Completed');
      return redirect()->intended('database/');
    }else{
      $request->session()->flash('flash', 'Email or Password invalid');
      return redirect()->to('database/user/auth');
    }
  }

//認証ページのフォーム(auth.blade.php)です
@extends('top')
@section('content')
<div>
    <div>
      <form action = "authenticate" method = "post">
          <li> <input type = "text" name = "email" placeholder = "Type Email"> </li>
          <li> <input type = "password" name = "password" placeholder = "Password"> </li>
          <input type = "hidden" name="_token" value="{{csrf_token()}}">
          <button type = "submit">Log in</button>
      </form>
      <a href = "{{ action( 'ArtistController@top' ) }}">Back to top</a>
    </div>
</div>
@endsection

#実行結果

• auth.blade.phpからメールとパスを打つと、「Email or Password invalid」が表示される、つまりログインに失敗している

のですが、それがなぜなのかわかりません。

• メールとパスが一致していることは大前提としてあります。

実行の結果から、なぜ情報が一致しないのか、自分では調べてもいまいち掴めませんでしたので
お力添えいただけますと幸いです。

よろしくお願いいたします。

Answer 1

ユーザの保存の仕方も、Auth::attemptを使った認証の仕方も、Laravel本体のコードと見比べても特に問題ないように見えます・・・。
あとは些細な問題があるのかを見ていくのかなという印象です。

ちょっと気になるのはデフォルトのユーザテーブルは user ではなく users なのですが、そこはおそらく御自身で作られたテーブルなのでたぶん大丈夫なのだと思っています。（users はdatabase/migrations/2014_10_12_000000_create_users_table.phpで作られているテーブルです
逆に言うと自分でユーザテーブルを作ってしまうと、Laravelの求めるスキーマと違ってしまうことがありそうで少し不安ではあります。

後はtypoとかDBに目的のデータがちゃんと保存されているかという懸念なのですが、ユーザ新規登録後にDBに目的のデータは保存されていますでしょうか？
仮に保存に成功してもパスワードは目的のパスワードのハッシュが保存されていますでしょうか？
上記のバリデーションルールだと仮にパスワードの空文字だったとしても通ってしまうので、仮にhtmlのformをどこかtypoしてて、パスワードがPOSTされてなくても通ってしまうと思います。

    $name = $request->input('name');
    $email = $request->input('email');
    $password = Hash::make($request->input('password'));  // パスワードが空でもハッシュは生成されるので下のバリデーションはまず通過してしまう！
    $this->validate($request, [
      'name' => 'required|unique:user|max:255',
      'email' => 'required|unique:user|max:60',
      'password' => 'required|max:60'
    ]);

参考
Laravelがパスワードハッシュ生成に使っているpassword_hashは空文字だろうがnullだろうがハッシュを生成する・・・・・。

>>> password_hash('test', PASSWORD_DEFAULT);
=> "$2y$10$u7D0s6uj1gqkXsnu8a/iUu4ZJ.ysHsTga5X1libNpcFt9yifQj/6K"
>>> password_hash('', PASSWORD_DEFAULT);
=> "$2y$10$WRNEIkZbDjRtWs4B1ZDa3OlLPurPAImce8KtW5q7OnYmy1CJXBD3e"
>>> password_hash(null, PASSWORD_DEFAULT);
=> "$2y$10$1QxZ.XuvEx4600RY4GJsyeazD0gnRnrzejjV8LsmXq3lTUI.eUjea"

Comments

[nazonohito51]

あ、あと config/auth.php の 'guards' 配下と、 'providers' 配下もよろしければ記述していただくとうれしいです。
デフォルトだとたしかUserモデル（app/User.php）を経由したログイン認証を実行するのですが、上記のやり方だとまず認証に失敗するのかなと思います。

[catch_all_balls]

ご回答いただきありがとうございます。めちゃくちゃ勉強になりました。上からコメントいたします。

・userテーブルについて
ご推察いただきましたように、これは私が自作したテーブルです。また、新規登録後に、私はMysqlをつかっていますが、workbench上でレコードが入っていることを確認しています。

・パスワードについて
空文字でもハッシュというのは知りませんでした。。論理的に考えればたしかにそうなりますよね。
ヴァリデーションの意味。。

・config/auth.phpについて
設定は、いじっていないので下記のようになっています。
'guards' => [
'web' => [
'driver' => 'session',
'provider' => 'users',
],

'api' => [
'driver' => 'token',
'provider' => 'users',
],
],

'providers' => [
'users' => [
'driver' => 'eloquent',
'model' => App\User::class,
],

// 'users' => [
// 'driver' => 'database',
// 'table' => 'users',
// ],
],

[nazonohito51]

なるほどなるほど、config/auth.phpの'provider'を以下に書き換えてみるとログイン認証はできるようになりますでしょうか？

```
'providers' => [
// こっちはコメントアウト
// 'users' => [
// 'driver' => 'eloquent',
// 'model' => \App\DataAccess\Eloquent\User::class,
// ],

// コメントアウト解除
'users' => [
'driver' => 'database',
'table' => 'user', // 「今回の場合は」 users->userへ修正
],
],
```

[catch_all_balls]

アドバイスありがとうございます。
書き換えてみまして、「Undefined index: id」というエラーにはなりましたが、検索・一致のロジック単体ではワークしている感じです。
ご丁寧にありがとうございました！

Answer 2

Auth::attempt 内の挙動を追うのが早そうですが、追いましたか？

ここを見ると $password をナマのまま渡すのが NG とかっぽいです。

ただ、感覚的にはおかしな記述な気がするので、やっぱり挙動を追ってみるのが良いかと。

Comments

[catch_all_balls]

ご回答ありがとうございます。

いえ、まだ追ってないですね。SELECTのときに、デハッシュするのかなと思っていて変に思いましたが、やはりそうですよね。
そのへんにあたりをつけていろいろ調査します、ありがとうございます。

[退会済みユーザー]

私は laravel を学習しようとしている段階にあるので、laravel の認証の常套手法は知らないのですが、ハッシュした後の値を渡す関数となると、なんかそもそも使い方が今のやり方と違う気がします。
もし、リンク先の記述通りの動きをするものなのであれば、使用方法の確認をしたほうが良いかもしれません。

[catch_all_balls]

そうなんですね。
上記の記法は、ドキュメント（https://readouble.com/laravel/5.5/ja/authentication.html）を参考に書いてみたんです。

と思ってもう一度みたら、自動でハッシュ化されるから登録時にハッシュにしてはダメってなってました。。
ごめんなさい、再チャレンジしてみます。

[退会済みユーザー]

あぁ、理解しました！
laravel が Ver ごとに仕様が違うって、こういうことなんですね＾＾；
勉強になりました。

[catch_all_balls]

te2jiさんが、5.5以前のLaravelをイメージされていた、とかでしょうか。
逆に学びになったようで、コメントいただき嬉しかったです。

[退会済みユーザー]

いえ、私の回答したリンク先が5.5以前の laravel の記述であっただけで、私はもっと入り口にいる状況です。
マイナーバージョンの違いで、ここまで差が出るものなんですね。。。こわい^^;