ハッシュ化したパスワードを変更する画面を作りたい

Question

ログイン画面でのパスワードハッシュ化が完了しましたが、パスワード変更画面ではDBのハッシュ化状態のパスワードを取得してしまうため変更ができません。
このような時の解決策をお願い致します。

Comments

[otn]

変更するのに何故DBのパスワードを読むのでしょうか？
DBに書くだけでは？

[meruchaaan]

お返事ありがとうございます。
使っているユーザーが変更できる画面を実装したいと考えております。
なので、DBから直接ではなくサイトから変更できる画面にしたいです。

[otn]

> 使っているユーザーが変更できる
それが普通ですね。
> DBから直接
の意味がわかりません。

変更するなら、書くだけですよね？何故読む必要がある？
もしかして、前のパスワードを画面に表示しようとかしていませんか？
それは全く駄目です。脆弱性になります。

[meruchaaan]

なるほど。ありがとうございます。
では、パスワード変更する場合は、もう一度新規に登録するということでしょうか？

[otn]

新規にと言うか、上書きですね。

[meruchaaan]

解決できました！
適格ご意見ありがとうございました。

Answer 1

ふつうパスワードの変更画面は

・旧パスワード：（入力欄）
・新パスワード：（入力欄）

みたいになっていて、両方入力させるUIになるんじゃないですか。

ユーザーが入力した旧パスワードの方のハッシュがDBのものと一致していれば、新パスワードのハッシュで上書きすれば変更作業は完了するため、ユーザーは変更可能です。（つまりこれが解決策）

Comments

[meruchaaan]

ありがとうございます。
解決できました。
適格ご意見ありがとうございました。