[PHP] トークンについて

Question

PHP初心者です。ユーザのログインスクリプトを書いていますが、トークンについて教えてください。

ユーザのログイン時に下記のようにしました。

$_SESSION["token"] = md5(rand(time (), true));

トークンとはこの文字列を使ってユーザが同一人物であるか否かをチェックしている、という風に理解していますがあっていますでしょうか？

Answer 1

session_start()した時点で、ユニークなSessionIDが生成されます。
なのでそのようなことはしなくよいです。

基本的な流れとしては････

ユーザ認証に成功したら、認証されたIDをSession変数に入れて持ち回ります。

$_SESSION['UserID'] = $user->getId();

ログアウト時はSessionを破棄します。

session_destroy();

認証をかけたいページは、すべて最初にsession_start()します。次のような感じですね。

// セッションスタート
session_start();
// セッションハイジャックの防止
session_regenerate_id(true);
// ログインしているかどうか確認する
if ( !isset($_SESSION['UserID']) ) {
     // 


}

トークンは次のような感じで生成して

$hash = md5(mt_rand(1,1000000) . $salt);
$_SESSION['CSRFHash'] = $hash;

検証します。

if ( $_SESSION['CSRFHash'] === $hash ) {
 //

}

これだけでもそれなりに大きなテーマなので、マニュアルもよく参照してみてくださいね。

セッション処理について
http://php.net/manual/ja/book.session.php
session_start()
http://php.net/manual/ja/function.session-start.php
session_destroy()
http://php.net/manual/ja/function.session-destroy.php