パスワードの暗号化について

Question

phpでpassword_hashを使えば、パスワードの暗号化を行うことはできますが、ユーザーがパスワードを忘れたときはどうするのかが気になります。

<?php
$message = "pass";
$hash =  password_hash($message, PASSWORD_DEFAULT);
 
if (password_verify("pass", $hash)) {
    echo 'Password is valid!';
} else {
    echo 'Invalid password.';
}
?>

調べてみたところpassword_hashはもとの文字を復元することができないとサイトに書いてありました。ならばパスワードを忘れたら終わり？じゃないですか？

パスワードを忘れた場合の対策があればご教授お願いします。

Answer 1

ここで言うユーザーというのは、例えば会員制サイトの登録ユーザーということでしょうか。
どこのサイトでもそうですが「パスワードを忘れた場合は？」みたいなリンクが用意してあって、そこから登録済みのメールアドレスにパスワード更新のための案内が届きますね。
つまり忘れた場合は新たに登録し直しが基本かと思います。

Comments

[isacRu]

あ！そういえばそうですね！ありがとうございます。

Answer 2

あらゆるサイトでよく見かけると思いますが、「パスワードを再設定させる」というスキームで対応することになります。パスワードは「絶対不可逆」で保存することがセキュリティの前提であり、どうにかして解析できたらむしろそちらが問題になります。
パスワードをリセットさせるのであれば、対象のユーザにしかわからない設問を設け、対象のユーザしかアクセスしようがないメールアドレスにリセット用のURLを送付するのが一般的かと思います。

Comments

[isacRu]

ご回答ありがとうございます。勉強になりました。