ログインページの作り方

Question

前提・実現したいこと

何度か質問させて頂いてますが、大変ありがたく感謝申し上げます。

今回はphp,mysql でログインページを実装する場合について一般的なやり方を教えていただけると幸いです。

Deamweaverを使って書かれたPHPのログインページがあり、コードを修正しているのですが、
MysqlでユーザーIDとパスワードを紹介する方法が私が想像していたものと違っていました。

ログインの際、入力されたユーザーIDでMysqlのユーザーリストから絞り込み、帰ってきたPasswordの結果を入力したPasswordと比べ、一致したらTrue、というやり方が一般的だと思っていました。

SELECT id, password FROM ユーザーテーブル WHERE id=ユーザーID;　

今あるコードを読むと、

SELECT id, password FROM ユーザーテーブル WHERE id=ユーザーID AND password=パスワード

となっており、何かしらの返り値があれば（ここではmysqli_num_rowsが使われていました）Trueという判定を
していました。

一般的にどちらが推奨されるやり方でしょうか。両方使えるのであればメリット・デメリットも教えていただけると
大変助かります。

補足情報

ここでは省略いたしますが、エスケープ等は一応されており、私が普段つかう前者のやり方ではパスワードを暗号化して照合しています。
まだ勉強中のため、言い回しや質問の仕方がおかしいかもしれませんがご容赦ください。
宜しくお願い致します。

Answer 1

前提条件として、フレームワークを使用しない 素の php のログインシステムであれば、現在は password_hash と password_verify の組合せを使用しない選択肢は無いと思います。

参考記事：2018年のパスワードハッシュ

これらの関数を使用したログインシステムでは、登録時にはパスワードを「ハッシュ化」して、そのハッシュ値に、「使用したアルゴリズム/コスト/ソルト」情報を付加したものを DB に登録します。このあたりはマニュアルや、実際の挙動を見てください。

で、本題ですが、現在主流のほとんどのログインシステムでは、パスワード同士の比較ではなく、パスワードを「ハッシュ化」したモノを比較し検証する手法が採用されているため、ログイン時のフローは、
・DB 上のハッシュ情報（ハッシュ値/アルゴリズム/コスト/ソルト）を取得
・その情報を用いて、投稿された password を検証
・合致すればログイン
となります。

つまり、パスワードを含めた形での sql 発行はありえません。

Comments

[fukoma]

記事も参考にさせていただきました。
現在主に使われている方式をはっきりとおっしゃって頂き、モヤモヤが解消いたしました。
ありがとうございました。

Answer 2

ログインの際、入力されたユーザーIDでMysqlのユーザーリストから絞り込み、帰ってきたPasswordの結果を入力したPasswordと比べ、一致したらTrue、というやり方が一般的

こちらのほうが適切です。とりわけ、PHPでパスワードをハッシュ化するための関数としてpassword_hashがありますが、「同じパスワードが同じ形にハッシュ化される」とパスワード解析がやりやすくなってしまうのに対抗して、それを防ぐために毎回結果が違うので、「事前にpassword_hashしたものでデータベースを検索」ということは不可能です。

Comments

[fukoma]

この方法で進めたいと思います。ありがとうございました。

Answer 3

前者だと、ユーザIDが間違いかパスワードが間違いなのか分かります。
後者だと、ユーザIDが間違いかパスワードが間違いなのか分かりません。

エラーメッセージにどこまで詳細な情報を出すかで、
どちらを選ぶか変わってくると思います。

最近の流行は後者ですかね。
セキュリティの対策でしょうけど。
ユーザIDがあるかないか分かると、
パスワードのみの総当たりでパスワード突破できますから。

まぁどちらにしてもPHPの実装次第です。
SQLのみで評価できません。

Answer 4

ユーザーIDとパスワードでチェックをする目的の為だけであれば何方でも良いと思いますが、
パスワードが暗号化されていて複合復号化するのが取得後ということであれば、セキュリティ面からはユーザーIDのみで取得する方が勝っています。

また別な理由として、チェックのみが目的ではない（ユーザー情報の取得）場合が殆どでしょうから、キー（ユーザーID）で取得してから諸々の処理を行う方が効率的だと思います。

Comments

[退会済みユーザー]

指摘すべきか否か…

[sazi]

ポイントがずれている（質問の背景にまで沿ってない）のは他の方の回答で自覚しました。
それ以外にも指摘があるなら、どうぞお願いします。

[退会済みユーザー]

“複合化”とは、言いません。

[fukoma]

回答くださりありがとうございます。勉強になります。

[sazi]

当初「複合する」と表現してたけど、複合化と言う事例が多いので時流なのかと思って使ってました。

[退会済みユーザー]

まず、“複合”の字が違います。
それから、暗号化したものを号に戻すので復号化ともいいません。
暗号化の反対は、“復号”です。

[sazi]

あ、お恥ずかしい。これから上塗りせずに済みます。

Answer 5

セキュリティについては完全に無視しますがロジックとしては
idはユニーク属性をつけるものとし

SELECT user_name FROM ユーザーテーブル WHERE id='ユーザーID' AND password='パスワード'

として戻り値が1行以上あること（実質0行か1行しかありえない）を確認しつつ
受け取ったuser_nameをセッションにつっこんでおいて
各ページでisset($_SESSION["user_name"])をチェックすればよいでしょう
passwordをselectする意味はあまりないですね。
（むしろセッションにpasswordをもたせるのはやめたほうがいいです）

もっと手を抜いてやるなら、mysqlとbasic認証を連携した機能とか
apacheに用意されてたりします
（とうぜんbasic認証なのでセキュリティは皆無で、気休めの認証ですが）

Comments

[fukoma]

色々な方法があるんだなと参考になりました。
ありがとうございました。