ログイン認証ページでのセキュリティ

Question

会員登録のページを作成しましたが、セキュリティの部分で書き直したい箇所があります。

データベースにパスワードを登録する際にセキュリティの面で　[sha1]はマニュアルでは推奨されていないので[password_hash]を使ってパスワードをハッシュ化することができました。（chech.php）

ですが、ログインの認証時に[password_verify]でハッシュ化されたパスワードの第二引数(login.php)をどのように書けばいいのかわかりません。

PHPの教材を購入してこのコードを書いてみましたので、コードが汚く読みにくいかもしれませんがもしよろしければ教えていただきたいです。

よろしくお願いします。

<?php
require('../dbconnect.php');
session_start();
error_reporting(E_ALL ^ E_NOTICE);

if ($_COOKIE['email'] != '') {
  $_POST['email'] = $_COOKIE['email'];
  $_POST['password'] = $_COOKIE['password'];
  $_POST['save'] = 'on';
}

if (!empty($_POST)) {
  if ($_POST['email'] != '' && $_POST['password'] != '') {
    $login = $db->prepare('SELECT * FROM members WHERE email=? AND password=?');
    $login->execute(array(
      $_POST['email'],
      password_verify($_POST['passowrd'], )
  ));
    $member = $login->fetch();
    password_verify($_POST['password'], $member['password']);
  
  if ($member) {
    $_SESSION['id'] = $member['id'];
    $_SESSION['time'] = time();

    if ($_POST['save'] == 'on') {
      setcookie('email', $_POST['email'], time()+60*60*24*14);
      setcookie('password', $_POST['password'], time()+60*60*24*14);
    }

    header('Location:index.php');exit();
  } else {
    $error['login'] = 'failed';
  }
  } else {
    $error['login'] = 'blank';
  }
}

?>

<div class="lead">
  <p>メールアドレスとパスワードを記入してログインしてください</p>
  <p>入会手続きがまだな方はコチラからどうぞ</p>
  <p>&raquo;<a href="../join/index.php">入会手続きをする</a></p>
</div>
<form action="" method="post">
  <dl>
    <dt>メールアドレス</dt>
    <dd>
      <input type="text" name="email" size="35" maxlength="255" value="<?php echo h($_POST['email']); ?>">
      <?php if ($error['login'] == 'blank'): ?>
      <p class="error">※メールアドレスとパスワードを入力して下さい</p>
      <?php endif; ?>
      <?php if ($error['login'] == 'failed'): ?>
      <p class="error">※ログインに失敗しました。正しくご入力ください。</p>
      <?php endif; ?>
    </dd>
    <dt>パスワード</dt>
    <dd>
      <input type="password" name="password" size="35" maxlength="255" value="<?php echo h($_POST['password']); ?>">
    </dd>
    <dt>ログイン情報の記録</dt>
    <dd>
      <input id="save" type="checkbox" name="save" value="on"><label for="save">次回からは自動的にログインする</label>
    </dd>
  </dl>
  <div><input type="submit" value="ログインする"></div>
</form>

<?php 
session_start();
require('../dbconnect.php');

if (!isset($_SESSION['join'])) {
  header('Location: index.php');
  exit();
}

if (!empty($_POST)) {
  $stmt = $db->prepare('INSERT INTO members SET name=?, email=?, password=?, picture=?, created=NOW()');
  echo $ret = $stmt->execute(array(
    $_SESSION['join']['name'],
    $_SESSION['join']['email'],
    password_hash($_SESSION['join']['password'],PASSWORD_DEFAULT),
    $_SESSION['join']['image']
  ));
  unset($_SESSION['join']);

  header('Location: thanks.php');
  exit();
}
?>

<form action="" method="post">
  <input type="hidden" name="action" value="submit">
  <dl>
    <dt>ニックネーム</dt>
    <dd>
      <?php echo h($_SESSION['join']['name']); ?>
    </dd>
    <dt>メールアドレス</dt>
    <dd>
      <?php echo h($_SESSION['join']['email']); ?>
    </dd>
    <dt>パスワード</dt>
    <dd>
      【表示されません】
    </dd>
    <dt>写真など</dt>
    <dd>
      <img src="../post/member_picture/<?php echo h($_SESSION['join']['image']); ?>" width="300" height="300" alt="">
    </dd>
  </dl>
  <div><a href="index.php?action=rewrite">&laquo;&nbsp; 書き直す</a> | 
  <input type="submit" value="登録する"></div>
</form>

<?php
try {
  $db = new PDO ('mysql:dbname=mini_bbs;host=localhost;charset=utf8', 'root', 'root');
} catch (PDOException $e) {
  echo 'DB接続エラー: ' . $e->getMessage();
}

function h($value) {
  return htmlspecialchars($value, ENT_QUOTES);
}

function makeLink($value) {
  return mb_ereg_replace("(https?)(://[[:alnum:]+$\;?.%,!#~*/:@&=_-]+)",'<a href="\1\2">\1\2</a>', $value);
}

?>

<?php
require('../dbconnect.php');

session_start();
error_reporting(E_ALL ^ E_NOTICE);

if (!empty($_POST)) {
  if ($_POST['name'] == '') {
    $error['name'] = 'blank';
  }
  if ($_POST['email'] == '') {
    $error['email'] = 'blank';
  }
  if (strlen($_POST['password']) < 4) {
    $error['password'] = 'length';
  }
  if ($_POST['password'] == '') {
    $error['password'] = 'blank';
  }

  $fileName = $_FILES['image']['name'];
  if (!empty($fileName)) {
    $ext = substr($fileName, -3);
    if ($ext != 'jpg' && $ext != 'gif') {
      $error['image'] = 'type';
    }
  }

  if (empty($error)) {
    $member = $db->prepare('SELECT COUNT(*) AS cnt FROM members WHERE email=?');
    $member->execute(array($_POST['email']));
    $record = $member->fetch();
    if ($record['cnt'] > 0) {
      $error['email'] = 'duplicate';
    }
  }

  if (empty($error)) {
    $image = date('YmdHis') . $_FILES['image']['name'];
    move_uploaded_file($_FILES['image']['tmp_name'], '../post/member_picture/' . $image);

    $_SESSION['join'] = $_POST;
    $_SESSION['join']['image'] = $image; 
    header('Location: check.php');
    exit();
  }

  if ($_REQUSET['action'] == 'rewrite') {
    $_POST = $_SESSION['join'];
    $error['rewite'] = true;
  }
}

?>


<p>次のフォームに必要事項を記入してください。</p>
<form action="" method="post" enctype="multipart/form-data">
  <dl>
    <dt>ニックネーム<span class="required">必須</span></dt>
    <dd><input type="text" name="name" size="35" maxlength="255" value="<?php echo h($_POST['name']); ?>">
      <?php if ($error['name'] == 'blank'): ?>
      <p class="error">※ニックネームを入力してください</p>
      <?php endif; ?>
    </dd>

    <dt>メールアドレス<span class="required">必須</span></dt>
    <dd><input type="text" name="email" size="35" maxlength="255" value="<?php echo h($_POST['email']); ?>">
      <?php if ($error['email'] == 'blank'): ?>
      <p class="error">※メールアドレスを入力してください</p>
      <?php endif; ?>
      <?php if ($error['email'] == 'duplicate'): ?>
      <p class="error">※指定したメールアドレスは既に登録されています</p>
      <?php endif; ?>
    </dd>

    <dt>パスワード<span class="required">必須</span></dt>
    <dd><input type="password" name="password" size="10" maxlength="20">
      <?php if ($error['password'] == 'blank'): ?>
      <p class="error">※パスワードを入力してください</p>
      <?php endif; ?>
      <?php if ($error['password'] == 'length'): ?>
      <p class="error">※パスワードは4文字以上で入力してください</p>
      <?php endif; ?>
    </dd>

    <dt>写真など</dt>
    <dd><input type="file" name="image" size="35"/>
      <?php if ($error['image'] == 'type'): ?>
      <p class="error">※写真などは[.gif]または[.jpg]の画像を指定してください</p>
      <?php endif; ?>
      <?php if (!empty($error)): ?>
      <p class="error">恐れ入りますが、画像を改めて指定してください</p>
      <?php endif; ?>
    </dd>
  </dl>
  <div><input type="submit" value="入力内容を確認する"></div>
</form>

Answer 1

PHPマニュアル確認しましょう。

password_verify()

パスワードがハッシュにマッチするかどうかを調べる
指定したハッシュがパスワードにマッチするかどうかを調べます。
password_hash() は、 アルゴリズムやコスト、ソルトといった情報もハッシュに含めて返すことに注意しましょう。 したがって、ハッシュの検証に必要な情報はすべてそこに含まれていることになります。 これで、検証関数がハッシュの検証をするときに、ソルトやアルゴリズム情報を別の場所から取得する必要がなくなります。
password_verify(string $password, string $hash): bool
password
ユーザーのパスワード。
hash
password_hash() が作ったハッシュ。

つまり、SELECTと同時にどうにかするものではなく、SELECTして取得されたhash済み文字列と入力値を比較することになります。

一般的にユーザIDは一意であるものなので、ユーザIDだけでSELECTするので十分です。

Comments

[suke1001]

ご回答ありがとうございます。

マニュアルをしっかり読んだつもりでいたのですが、理解を深めることができませんでした。

パスワードまでSELECTで取得せずにSELECTされたユーザーIDとパスワードが一致するかを調べるということでしょうか？僕のこの解釈があっているか教えていただけたら幸いです。

[m.ts10806]

機能確認をしっかりしてから使いましょう、という意味ですね。
その機能が求める引数、役割、何を返すか　が書いてありますしその3点が理解できれば十分です。サンプルコードもあるので確認してください。

>パスワードまでSELECTで取得せずに
は合っています。
＞SELECTされたユーザーIDとパスワードが一致するかを調べるということでしょうか？
は違います。

正しくは「IDなど一意となる主キーのみでSELECTし、結果で得られたパスワードと入力値が一致するかPHPの機能で検査する」です。

[suke1001]

すごくわかりやすい表現で言葉の意味を理解することができました。

先程の、コードはパスワードをデタラメにしてもログインできてしまいました。
なので、返却値について調べてもう一度、チャレンジしてみます。

[m.ts10806]

boolが返ってきてるのでそれをチェックするだけです。
true/false PHPマニュアルを再度ご確認を。
それに言及した優秀な記事も幾つもあります。
https://qiita.com/mpyw/items/bb8305ba196f5105be15

[suke1001]

結構、時間がかかってしまいましたがうまく動作するようになりました。password_verifyは返却値もセットでコードを書くことが学べました。
お手助け色々とありがとうございました。

Answer 2

ご指摘いただいた通りにif文にてtrue/falseの判定を追加したところうまく動作しました。
ログインもパスワードでしかログインされないようになりました。

<?php
require('../dbconnect.php');
session_start();
error_reporting(E_ALL ^ E_NOTICE);

if ($_COOKIE['email'] != '') {
  $_POST['email'] = $_COOKIE['email'];
  $_POST['password'] = $_COOKIE['password'];
  $_POST['save'] = 'on';
}

if (!empty($_POST)) {
  if ($_POST['email'] != '' && $_POST['password'] != '') {
    $stmt = $db->prepare('SELECT * FROM members WHERE email = :email');
    $stmt->execute(array(':email' => $_POST['email']));
    $member = $stmt->fetch(PDO::FETCH_ASSOC);

    if( password_verify($_POST['password'], $member['password'])) {
      $_SESSION['id'] = $member['id'];
      $_SESSION['time'] = time();
      header('Location:index.php');exit();
    } else {
      $error['login'] = 'failed';
    }
  } else {
    $error['login'] = 'blank';
    }
    
    if ($_POST['save'] == 'on') {
      setcookie('email', $_POST['email'], time()+60*60*24*14);
      setcookie('password', $_POST['password'], time()+60*60*24*14);
    }
  }

?>

<div class="lead">
  <p>メールアドレスとパスワードを記入してログインしてください</p>
  <p>入会手続きがまだな方はコチラからどうぞ</p>
  <p>&raquo;<a href="../join/index.php">入会手続きをする</a></p>
</div>
<form action="" method="post">
  <dl>
    <dt>メールアドレス</dt>
    <dd>
      <input type="text" name="email" size="35" maxlength="255" value="<?php echo h($_POST['email']); ?>">
      <?php if ($error['login'] == 'blank'): ?>
      <p class="error">※メールアドレスとパスワードを入力して下さい</p>
      <?php endif; ?>
      <?php if ($error['login'] == 'failed'): ?>
      <p class="error">※ログインに失敗しました。正しくご入力ください。</p>
      <?php endif; ?>
    </dd>
    <dt>パスワード</dt>
    <dd>
      <input type="password" name="password" size="35" maxlength="255" value="<?php echo h($_POST['password']); ?>">
    </dd>
    <dt>ログイン情報の記録</dt>
    <dd>
      <input id="save" type="checkbox" name="save" value="on"><label for="save">次回からは自動的にログインする</label>
    </dd>
  </dl>
  <div><input type="submit" value="ログインする"></div>
</form>

Comments

[m.ts10806]

回答も編集できるので投稿し直す必要はありません。片方削除依頼をだし、まとめてください。

[suke1001]

了解しました！ありがとうございます。

Answer 3

このようにコードを書き換えたところ上手く動作しました。

<?php
require('../dbconnect.php');
session_start();
error_reporting(E_ALL ^ E_NOTICE);

if ($_COOKIE['email'] != '') {
  $_POST['email'] = $_COOKIE['email'];
  $_POST['password'] = $_COOKIE['password'];
  $_POST['save'] = 'on';
}

if (!empty($_POST)) {
  if ($_POST['email'] != '' && $_POST['password'] != '') {
    $stmt = $db->prepare('SELECT * FROM members WHERE email = :email');
    $stmt->execute(array(':email' => $_POST['email']));
    $member = $stmt->fetch(PDO::FETCH_ASSOC);
    password_verify($_POST['password'], $member['password']);
  
  if ($member) {
    $_SESSION['id'] = $member['id'];
    $_SESSION['time'] = time();

    if ($_POST['save'] == 'on') {
      setcookie('email', $_POST['email'], time()+60*60*24*14);
      setcookie('password', $_POST['password'], time()+60*60*24*14);
    }

    header('Location:index.php');exit();
  } else {
    $error['login'] = 'failed';
  }
  } else {
    $error['login'] = 'blank';
  }
}

?>

<div class="lead">
  <p>メールアドレスとパスワードを記入してログインしてください</p>
  <p>入会手続きがまだな方はコチラからどうぞ</p>
  <p>&raquo;<a href="../join/index.php">入会手続きをする</a></p>
</div>
<form action="" method="post">
  <dl>
    <dt>メールアドレス</dt>
    <dd>
      <input type="text" name="email" size="35" maxlength="255" value="<?php echo h($_POST['email']); ?>">
      <?php if ($error['login'] == 'blank'): ?>
      <p class="error">※メールアドレスとパスワードを入力して下さい</p>
      <?php endif; ?>
      <?php if ($error['login'] == 'failed'): ?>
      <p class="error">※ログインに失敗しました。正しくご入力ください。</p>
      <?php endif; ?>
    </dd>
    <dt>パスワード</dt>
    <dd>
      <input type="password" name="password" size="35" maxlength="255" value="<?php echo h($_POST['password']); ?>">
    </dd>
    <dt>ログイン情報の記録</dt>
    <dd>
      <input id="save" type="checkbox" name="save" value="on"><label for="save">次回からは自動的にログインする</label>
    </dd>
  </dl>
  <div><input type="submit" value="ログインする"></div>
</form>

Comments

[m.ts10806]

password_verify()の返却値をチェックしていないのでemailが合っていればパスワード間違っていても通ります。