Laravelでinput type="password"の値をフラッシュデータから取得する

Question

Laravelで新規登録機能を実装しました。

送信してバリデーションエラーがあるとパスワードを一から再入力する必要があります。

名前やメールアドレスなどの項目はoldメソッドを利用することで、フォームを再表示した時に直前の送信内容が入力済になります。

パスワードの場合は
request()->old('password') が null になるので使えません。
できたとしてもセキュリティ的に問題ありますか？

<input type="password" name="password" value="{{ old('password') }}"

例えば、ユニークなnameの項目があった場合、
バリデーションに引っかかるごとに入力したパスワードが消えていては不便です。
ベストなのは非同期でnameを送信して使えるかチェックするという方法かもしれませんが。

セキュリティ的に安全な方法で、直前に入力さたパスワードを入力済にする方法はありませんか？

教えてください。よろしくお願いします。

Answer 1

パスワードを持ち回りすると、一般的には、パスワードの漏洩リスクが高まるという理由から避けるべきとされています。なので、脆弱性診断を頼むと脆弱性と判断される可能性があります。

しかし、この辺、実は微妙なところと思っていて、伏せ字になっているパスワードの値を見るには、パソコン上で操作をしなければならないので、その時点でいろいろまずいわけです。なので、パスワードを知られることによるリスクが大きければ避けたほうがよいし、それほどリスクがないのであれば許容してもよいかもしれません。

私からの提案は、入力→確認→登録の遷移において、パスワードの入力欄を「確認画面」におくことです。そうすれば、バリデーションのエラーの時点ではパスワードを持ち回りする必要はなくなります。

Comments

[kriht]

ご回答ありがとうございます。

登録処理までに１段階挟むということですね。

「入力→登録」を想定していましたが、「入力(ユーザー名)→確認(パスワード)→登録」とすることでパスワードの持ち回りをしなくても、利便性を保てますね。

バリデーションエラーで再入力の状況が発生しうるのは、
「確認」の段階で、別の人が同じユーザー名で登録した場合ですね。

これはそう起こりえない状況なので、許容範囲ですね。

[kriht]

ちなみにですが、「入力→確認」でユーザー名はhiddenパラメータで渡すべきですよね？利用者自身で書き換えることに意味ないですし。

入力→(input type="hidden")→確認→(input type="text")→登録

この流れで正しいでしょうか？

徳丸本p182でのフォームの図では逆になっていたので一応確認したいと思いまして。

[ockeghem]

『バリデーションエラーで再入力の状況が発生しうるのは、「確認」の段階で、別の人が同じユーザー名で登録した場合ですね。』 < いえ、これはこれで問題だと思いますが、そうなりますか? ならないと思いますし、もしなるなら実装方法を見直すべきだと思います

[ockeghem]

徳丸本p182の図が正しいと思いますが。いきなりhiddenにすると、その値はどこからもってくるのでしょうか?

[kriht]

ご返信ありがとうございます。

説明不足でごめんなさい！バリデーションエラーで再入力の状況が発生しうるのは「確認画面からPOSTした時」という意味です。

「確認画面」に留まっている間に、別の人が同じユーザー名で登録処理を完了させた場合です。
同時に同じユーザー名を入力しても、確認画面までは通過すると思います。

[kriht]

私の認識が間違っていました。すみませんでした。

入力画面から <input type="text"> でPOSTする。受け取った値をPHPで確認画面に渡す。
確認画面から <input type="hidden" value="{{$name}}"> のようにしてPOSTする。

という流れが正しいですね。

もし間違いがあれば教えていただければ幸いです。

[ockeghem]

はい、そのとおりです

[kriht]

ありがとうございました！

Answer 2

namespace App;

class User
{

    protected $hidden = [
        'password', 'remember_token',
    ];

}

Userモデルの $hidden に含まれている 'password' を削除すれば可能だと思う。

ただし、本来、$hidden は別の目的のためにあるので、メリット、デメリットを考慮の上で。

Comments

[kriht]

ありがとうございます。
$hiddenから外せば実現可能なのですね。

セキュリティ的に問題はないのでしょうか？

[退会済みユーザー]

レスポンスされる HTMLデータにプレインなパスワードが記載される程度ですね。

[kriht]

ありがとうございます。