パスワードのリマインダーハッシュについて

###前提・実現したいこと

・cake3にて会員登録フォームを実装
・パスワードの再設定にリマインダーハッシュを使用したい

DBの会員テーブルにはremainder_hashカラムを用意しているのですが、
登録時に自動で(非表示)リマインダーハッシュを入力する仕組みが分かりません。

また、リマインダーハッシュ自体もあまり理解しておらず、仕組みだけでも結構ですのでご教授頂けませんでしょうか。

自分がイメージしているリマインダーハッシュの使い方は以下です。

・パスワードの再設定時に入力したアドレスへメール送信
・メール本文に「リマインダーハッシュを付与したURL」を記載(時限式)
・アクセスされたURLからリマインダーハッシュを取得
・会員テーブルのリマインダーハッシュと照合して一致するか確認
・一致すればパスワードの再設定にリダイレクト

リマインダーハッシュを時限式(有効期限30分等)にするとした場合、レコードのリマインダーハッシュはメール送信時に更新して30分後に再度変更するということなのでしょうか・・？

知識が乏しく上手く説明出来ておりませんが、何卒宜しくお願い致します。

ちなみに、無関係かもしれないのですがパスワード自体は保存時にハッシュ化を行っております。
Entity

protected function _setLogin_password($password)
    {
        return (new DefaultPasswordHasher)->hash($password);
    }

###補足情報(言語/FW/ツール等のバージョンなど)
php7.1.1 / cake PHP3.3.12/

行動規範の内容に同意します

回答1件

ベストアンサー

リマインダーハッシュという用語は初めて聞きましたが、要するにパスワードを忘れてログインできない会員に、パスワード再設定ができるように、メールでハッシュ付きURLを送るやつのことですかね

実装は色々あると思いますが、ハッシュは会員登録時に作成するのではなく、メールを送信する際に作成するのがいいと思います。また、ハッシュを作成した日時も保存しておきます。
「会員テーブルのリマインダーハッシュと照合して一致するか確認」する際に、作成した日時が現在時間と比較して、有効時間以上経過していたら、エラーを返せば時限式になるかと思います。

なお、ハッシュはコントローラで、会員名や日時をベースに適当にユニークになるように生成して、テーブルに保存すればいいと思います。ハッシュが重複してしまった場合やセキュリティも考慮して、仮パスワードなどがあってもいいかもしれません。

また、ハッシュは会員テーブルとは別のテーブルに保存しておいてもいいかもしれませんね。

「パスワードリマインダー」でGoogle検索すると実装例などがいくつかあったので参考にするといいと思いますよ

投稿2017/02/10 21:55

編集2017/02/10 22:04