【PHP】Laravel 4の認証でHash::make()の代わりにmd5を使う方法

Question

サイトをLaravelへ切り替えようとしています。
古いサイトには、複数人のユーザーが入っており、それぞれのユーザーにはmd5ハッシュがパスワードとして付いています。

Laravelに変更する上で、Auth::attemptを使いたいのですが、どうもパスワードストリングをハッシュするために独自のメソッドを使っているようなのです。ユーザー全員にパスワードを変えさせるのは避けたいです。

それを避けるためにAuth classにmd5を使わせる方法はありますか？
もしあるのであれば、やり方を教えていただけると大変ありがたいです。

Answer 1

Auth::attemptをmd5に対応させる場合は、メソッドをオーバーライドするだけで対応できます

まずattemptで実行される処理の流れを把握しておきましょう
Illuminate\Auth\Guardにありますが、
まず、指定している認証ドライバーのretrieveByCredentials()が実行されます
この処理内でDBにアクセス(eloquent, database両ドライバー共に)しますが、
passwordカラムはこの時の検索から除外されます
取得したデータはIlluminate\Auth\UserInterfaceを実装したオブジェクトです

その後に指定している認証ドライバーのvalidateCredentialsで、
取得したオブジェクトにあるpasswordと入力されたパスワードが、
\Illuminate\Hashing\BcryptHasherのメソッドを使って正しい入力情報かどうかを判定します。

今回はこの部分を**\Illuminate\Hashing\BcryptHasherからmd5**に変更します

eloquentドライバーを利用する場合
EloquentUserProviderを継承します
データベースのpasswordカラムにmd5を介した文字列が保存されているとした例です
namespaceなどはお使いの環境に合わせて下さい

namespace App;

use Illuminate\Auth\UserInterface;
use Illuminate\Auth\EloquentUserProvider;

class CustomUserProvider extends EloquentUserProvider
{

    /**
     * Validate a user against the given credentials.
     * @param  \Illuminate\Auth\UserInterface  $user
     * @param  array  $credentials
     * @return bool
     */
    public function validateCredentials(UserInterface $user, array $credentials)
    {
        $plain = $credentials['password'];
        return ($plain === $user->getAuthPassword());
    }
}

validateCredentialsで、データベースから取得したpasswordカラムの文字列と
入力されたpasswordを比較します

app/start/global.phpか、サービスプロバイダーで次の様にします

\Auth::extend('custom', function() {
        return new \Illuminate\Auth\Guard(
            new \App\CustomUserProvider(
                new \Illuminate\Hashing\BcryptHasher,
                \Config::get('auth.model')
            ),
            \App::make('session.store')
        );
    });

customという名前のドライバーとして記述します
あとはapp/config/auth.phpなどでdriverを'custom'とすると
md5を利用して認証できる様になります

\Illuminate\Hashing\BcryptHasherは不要ですが、
この例ではvalidateCredentialsだけをオーバーライドしますので、コンストラクタに含めています
不要な場合はEloquentUserProviderを継承せずに独自のドライバとして実装して下さい

databaseドライバーを利用する場合
ほとんど同じです

namespace App;

use Illuminate\Auth\UserInterface;
use Illuminate\Auth\DatabaseUserProvider;

class CustomUserProvider extends DatabaseUserProvider
{

    /**
     * Validate a user against the given credentials.
     *
     * @param  \Illuminate\Auth\UserInterface  $user
     * @param  array  $credentials
     * @return bool
     */
    public function validateCredentials(UserInterface $user, array $credentials)
    {
        $plain = $credentials['password'];
        return ($plain === $user->getAuthPassword());
    }
}

eloquentと同様に
app/start/global.phpか、サービスプロバイダーで次の様にします

\Auth::extend('custom', function() {
        return new \Illuminate\Auth\Guard(
            new \App\CustomUserProvider(
                \DB::connection(),
                new \Illuminate\Hashing\BcryptHasher,
                \Config::get('auth.table')
            ),
            \App::make('session.store')
        );
    });

あとは

\Auth::attempt([
    'username' => \Input::get('username'),
    'password' => md5(\Input::get('password'))
]);

または、validateCredentials内でmd5($credentials['password'])　でもいいかもしれません

attemptでmd5を利用した認証は上記の様な実装になると思います

Comments

[hotdoggy32]

実装例を用いてすごく丁寧に説明して頂き、やり方を理解することが出来ました。

是非、参考にしたいと思います。回答ありがとうございました！！

Answer 2

MD5を使わせるのは非常に古い方法です。あえて維持しない方がいいと思います。
その代わりに、ユーザーが最初にログインし、Auth::attemptが失敗してしまったら、使おうとしていたパスワードをデータベースにあるものと、MD5として比較してみてください。
trueなら変更処理してログインさせれば、ユーザーの認証方法を移行できると思いますよ。

$user = new User::where('user_name','=',$_POST['user_name'])->first();
if(isset($user)) {
// ここでポストで来たパスワードをmd5にして比較
if($user->pass_word == md5($_POST['pass_word'])) { 
// ここでポストで来たパスワードを新しいハッシュに置き換え
$user->pass_word = Hash::make($_POST['pass_word']);
// セーブ
$user->save();
// ログイン処理
Auth::login($_POST['user_name']);
}
}