cakephpのログイン処理について質問です。

Question

cake2.7.5でシステムを作っています。
ログイン認証についてつまってしまったので質問です。

usernameとpasswordで認証を行いたいのですが、登録されていないusernameとpasseord（適当に打ったもの）でもログインされてしまい、セキュリティ的にダメダメになっている状態です。
cakeのAuth認証のページhttp://book.cakephp.org/2.0/ja/tutorials-and-examples/blog-auth-example/auth.htmlを参考にしたのですがうまく機能しません。

問題点をご指摘いただけると幸いです。よろしくお願い致します。

以下LoginControllerのコード

<?php App::uses('BlowfishPasswordHasher', 'Controller\Component\Auth'); class LoginController extends AppController{ public function beforeFilter(){ parent::beforeFilter(); $this->Auth->allow('index'); } public function logout(){ $this->redirect($this->Auth->logout()); } public $uses=['User']; public function index(){ if($this->request->is('post')){ $data = $this->request->data; if ($this->Auth->login($data)) { $this->redirect($this->Auth->redirectUrl()); } } } /* public function init() { $hasher = new BlowfishPasswordHasher(); $this->User->save([ 'name' => 'テスト', 'login_id' => 'test', 'password' => $hasher->hash('test') ]); } */ }

Answer 1

ここがだめなんだと思う。

if ($this->Auth->login($data)) { 

Auth->login()に引数渡すとそれを使って無条件でログインってことになるようね。
http://book.cakephp.org/2.0/ja/core-libraries/components/authentication.html

1.3 の $this->Auth->login($this->data) では、ユーザの識別を試みて成功したときのみログインが行われましたが、 2.x では $this->Auth->login($this->request->data) でなにが POST されたのだとしてもログインを行います。

つまり引数ありだと認証しないでログイン処理だけして、
引数無しだとポストデータを認証->ログイン処理ってことになるのかな。ちなみに認証だけしたい場合はAuth->identify()ね。

Comments

[miyake]

なるほど！
わかりやすい回答ありがとうございます！
原因もわかって大変ためになりました！！

Answer 2

public $components = array(
'Auth',
);

は追加してますか？

それかfunciton index() を login() とかにしてみるとか？

Comments

[miyake]

AppControllerにAuthの使用宣言はしてあります！