CakePHP3.5 パスワードで"0"ゼロを入力すると認証しない

Question

Cakephp3.5でパスワードが"0"と設定しているユーザだけ、認証が通りません。
認証はMD5でハッシュ化済みのパスワードを照合する様にしています。
※"0"のMD5ハッシュ値: cfcd208495d565ef66e7dff9f98764da でDBに登録済み
ゼロだから数値として認識しているかと思い、LegacyPasswordHasher.phpの$passwordをstrval関数やキャスト演算子(string)などで文字列化してみましたが全く改善しませんでした。

0の場合だけ、LegacyPasswordHasher.php が動作していないみたいです。
DebugKitのRequestを確認するとユーザー名とパスワード（0）は問題無くPOST出来ています。

なお、[tbUserAuths]テーブルには、ユーザ名とパスワード（MD5でハッシュ化済み）したデータがあります。
どこを修正すれば認証するのかご教授お願い致します。

\src\Controller\AppController.php

<?php
namespace App\Controller;
use Cake\Controller\Controller;
use Cake\Event\Event;

class AppController extends Controller
{
    public function initialize()
    {
        parent::initialize();

        $this->loadComponent('RequestHandler');
        $this->loadComponent('Flash');
        $this->loadComponent('Security');
        $this->loadComponent('Csrf');
        $this->loadComponent('Auth', [
            'authorize'             => [ 'Controller'],
            'authenticate'          => [ 'Form' => ['fields'         => ['username' => 'username', 'password' => 'password' ] ,
                                                    'userModel'      => 'tbUserAuths',
                                                    'passwordHasher' => ['className' => 'Legacy'] ] ],
            'unauthorizedRedirect'  => [ 'controller' => 'Users' , 'action' => 'login' ],
            'loginRedirect'         => [ 'controller' => 'Homes' , 'action' => 'index' ],
            'logoutRedirect'        => [ 'controller' => 'Users' , 'action' => 'login' ],
            'loginAction'           => '/users/login',
            'authError'             => false
        ]);
    }

    public function beforeRender(Event $event)
    {
        if (!array_key_exists('_serialize', $this->viewVars) &&
            in_array($this->response->type(), ['application/json', 'application/xml'])
        ) {
            $this->set('_serialize', true);
        }
    }

    public function isAuthorized($user)
    {
        // Admin can access every action
        if (isset($user['role_name']) && $user['role_name'] === 'admin') {
            return true;
        }
        // Default deny
        return false;
    }
}

\src\Auth\LegacyPasswordHasher.php

<?php
namespace App\Auth;
use Cake\Auth\AbstractPasswordHasher;

class LegacyPasswordHasher extends AbstractPasswordHasher
{
    public function hash($password)
    {
        return md5($password);
    }

    public function check($password, $hashedPassword)
    {
        return md5($password) === $hashedPassword;
    }
}

\src\Model\Entity\User.php

<?php
namespace App\Model\Entity;
use Cake\Auth\DefaultPasswordHasher;
use Cake\ORM\Entity;

class User extends Entity
{
    protected $_accessible = [
        '*' => true,
    ];
    protected $_hidden = [
        'password'
    ];

    protected function _setPassword($password)
    {
        if (strlen($password) > 0) {
            return (new DefaultPasswordHasher)->hash($password);
        }
    }
}

\src\Controller\UsersController.php

<?php
namespace App\Controller;
use App\Controller\AppController;
use Cake\Event\Event;
use Cake\Datasource\ConnectionManager;

class UsersController extends AppController
{
    public function initialize()
    {
        parent::initialize();
    }

    public function login()
    {
        if ($this->request->is('post')) {

            $user = $this->Auth->identify();

            if ($user) {
                $this->Auth->setUser($user);
                $session = $this->request->session();
                if ($this->Auth->user()) {
                      $session->write('Member', $query);
                      $session->write('Auth.User.role', $query['role_name']);
                      return $this->redirect([ 'controller' => 'Homes' , 'action' => 'index' ]);      
                }
            }
            $this->Flash->error(__('パスワードが違います。'));
        }
    }

    public function logout()
    {
        return $this->redirect($this->Auth->logout());
    }


    public function beforeFilter(Event $event)
    {
        parent::beforeFilter($event);
        $this->Auth->allow(['logout']);
    }

   public function isAuthorized($user)
    {
        return true;
    }
}

---

ユーザーのテーブル構成を追加

CREATE TABLE `tb_user_auths` (
	`username` CHAR(6) NOT NULL,
	`password` VARCHAR(255) NULL DEFAULT NULL,
	PRIMARY KEY (`username`)
)
COLLATE='utf8_general_ci'
ENGINE=InnoDB
;

ちなみにCakePHPからパスワード設定は行いません。
既にDBへ登録済みのMD5でハッシュ化されたパスワードを参照します。
例えば、以下の内容で入力した場合、

ユーザー名：012345
パスワード：1

ユーザーテーブルに以下の内容がヒットすればログインします。

usernemae:012345
password:c4ca4238a0b923820dcc509a6f75849b

今回の場合は、ゼロの場合だけログイン出来ません。
その際のテーブルにあるデータは以下になります。
password:cfcd208495d565ef66e7dff9f98764da

Comments

[m.ts10806]

0はboolean的にfalseだからかな・・とふと思いましたが、CakePHP環境なくて確証とれていないので回答には至れていません。そもそもパスワード0だけで認証ってどうなんだろう？という疑問があります。

[退会済みユーザー]

登録用と認証用ハッシャーがちがうのな（笑）

[退会済みユーザー]

とりま ユーザーテーブルの構成がわからんと回答のしようがないな

Answer 1

試してないからわからんけどたぶんここ。

https://github.com/cakephp/cakephp/blob/3.5.15/src/Auth/FormAuthenticate.php

	if (empty($value) || !is_string($value)) {
	    return false;
	}

Comments

[退会済みユーザー]

empty("0")== true まじだｗｗ

[gekota]

rana_kualuさんの内容で改善しました！

/vendor/cakephp/cakephp/src/Auth/FormAuthenticate.php
↓コピー
/src/Auth/FormAuthenticate.php

上記ファイルを下記の様に修正しました。

protected function _checkFields(ServerRequest $request, array $fields)
{
foreach ([$fields['username'], $fields['password']] as $field) {
$value = $request->getData($field);
// パスワード[0] のユーザー対応
if ($value == 0) {
return true;
}
if (empty($value) || !is_string($value)) {
return false;
}
}
return true;
}

[退会済みユーザー]

質問者、そのファイル修正するといつの間にか消えるよ

Answer 2

はじめまして

　　```PHP
public function hash($password)
{
return md5($password);
}

このmd5関数と

    ```PHP
    public function check($password, $hashedPassword)
    {
        return md5($password) === $hashedPassword;
    }

こちらのmd5関数ですが

１　同じmd5関数を使っているのでしょうか？　PHP7の標準関数md5でしょうか？
※同一だと思うのですが・・・

もし同じであるとして
md5関数の定義、ソースは
どういったロジックになっていますか？

２　まさかと思うのですが、check($password, $hashedPassword)の引数$passwordが
’0’ではなく
別の値が入っていることはないでしょうか。

一応

ゼロだから数値として認識しているかと思い、LegacyPasswordHasher.phpの$passwordをstrval関数やキャスト演算子(string)などで文字列化してみましたが全く改善しませんでした。

で確認されているかと思いますが。