CakePHP2.x DBの登録されているハッシュ化されたパスワードと入力フォームのパスワード比較

Question

CakePHP2.x で
DBの登録されているハッシュ化されたパスワードと入力フォームのパスワード比較する方法を教えてください。

Answer 1

DBに格納しているハッシュ化されたパスワードをどのようにハッシュ化しているか次第だと思います。
通常、PHPのプログラム内でハッシュ化していると思うので、入力されたパスワードを同様にハッシュ化して、DBに登録されたハッシュ化したパスワードと文字列で比較すればよいと思います。

Comments

[nutail]

以下の関数を通してハッシュ化しているのですが、同じパスワードでも
ハッシュ化された値が変わるので整合がとれません。
//パスワードのハッシュ化
public function getHashedPassword($password) {

$passwordHasher = new BlowfishPasswordHasher();
$password = $passwordHasher->hash($password);

return $password;
}

良いアイデアがあればよろしくお願いします。

[KatsumiTanaka]

BlowfishPasswordHasher()クラスを試してみましたが、同一のパスワード文字列を使用しているにも関わらず、ハッシュ化された文字列が異なりますね
BlowfishPasswordHasher()の内部を追っていくと、最終的にPHPのcrypt() 関数でハッシュ値を取得しているのですが、以下に示してあるようにバージョンによってバグがあるようです。
（ちなみに、上手く行かない自分の環境はPHP5.6.3です）
nutailさんの環境のPHPのバージョンは、どうでしょうか？

http://php.net/manual/ja/function.crypt.php

[nutail]

ありがとうございます。
別の解決策を見つけました。

$passwordHasher->check($check_pass, $current_pass)のように
BlowfishPasswordHasher()クラスにハッシュ化前の値が同一か判断できるメソッドがあるようです。

値はその都度変わりますが、ハッシュ化前の値が同一か判断できるようです。

一緒にご検討いただきありがとうございました。

[KatsumiTanaka]

言葉が足りなくて申し訳ない
そのメソッドも試してみたのですが、以下に示すように平文のパスワードをハッシュ化して、ハッシュ化済みのパスワードと比較してします

public function check($password, $hashedPassword) {
return $hashedPassword === Security::hash($password, 'blowfish', $hashedPassword);
}

ハッシュ化ということは、非可逆に暗号化されることなので、平文に戻すことはできません

[KatsumiTanaka]

CakePHP内部をいろいろと確認してみましたが、BlowfishPasswordHasherクラスのcheck関数を使用することで問題ないようです。
というか、これを使用しないとハッシュ化時のソルトがランダムになってしまうので、同じ文字列で取得したハッシュ値が異なることになりますね。