laravelでログイン機能を実装中で、エラー表示させるシステムがわかりません

Question

前提

phpもlaravelも初めて触っています。
laravelでログイン機能を実装している最中なのですが、ログインに失敗した場合のエラー表示をどうすればできるのかが、全く見当がつかないでいます。

実現したいこと

ユーザーIDが未入力だったときのエラー表示。
パスワードが未入力だったときのエラー表示。
ユーザーIDが見つからなかったときのエラー表示。
パスワードが不一致だったときのエラー表示。
その他の原因によるエラー表示。

エラー検出をするタイミングはController.phpの中だというのはわかったのですが、どういう処理を書けばもとのログイン画面にエラー表示させることができるのか、調べる単語が悪いのか情報が出てこないので、教えていただきたいです。

<?php

namespace App\Http\Controllers;

use App\Models\Account;
use App\Http\Requests\AccountRequest;
use App\Http\Requests\LoginRequest;
use Exception;
use Illuminate\Database\Eloquent\ModelNotFoundException;

class AccountController extends Controller {

    public function login() {
        $account = new Account();
        return view('account/login', compact('account'));
    }

    public function check(LoginRequest $request) {
        // 追加すること
        // ユーザー名が違うときのエラー
        // パスワードが違うときのエラー
        // ユーザー名とパスワードが一致したときのログイン処理
        $account = Account::where('name', $request->name)->firstOrFail();
        try {
            $account = Account::where('name', $request->name)->firstOrFail();
            if ($account->password != $request->password)
                throw new Exception();
        } catch (ModelNotFoundException $e) {
            // 例外時の処理
        }

        return redirect("/account");
    }
（略）
}

@extends('account/layout')
@section('content')
    <div class="container ops-main">
        <div class="row">
            <div class="col-md-12">
                <h3 class="ops-title">ログイン</h3>
            </div>
        </div>
        <div class="row">
            <div class="col-md-8 col-md-offset-1">
                @include('account/message')
                <form action="/account/check" method="post">
                    <input type="hidden" name="_token" value="{{ csrf_token() }}">
                    <div class="form-group">
                        <label for="name">ユーザー名</label>
                        <input type="text" class="form-control" name="name" value="{{ $account->name }}">
                    </div>
                    <div class="form-group">
                        <label for="password">パスワード</label>
                        <input type="text" class="form-control" name="password" value="{{ $account->password }}">
                    </div>
                    <button type="submit" class="btn btn-default">ログイン</button>
                    <a href="/account">戻る</a>
                </form>
            </div>
        </div>
    </div>
@endsection

補足情報（FW/ツールのバージョンなど）

php 8.1.6
Laravel 9.16.0
MySQL 8.0.29

Comments

[jem32o_]

これ「if ($account->password != $request->password)」がtrueの時「throw new Exception();」を実行して「catch」が通ると思うのですが、「catch」内は何もしないで「"/account"」にリダイレクトしているように見えます。
またエラーメッセージはどこで設定しているのでしょうか？

[3aki]

その「catch」内になにを書けばいいのかや、エラーメッセージをどこで設定すればいいのかがわからないです。

[jem32o_]

そもそも「catch」自体理解してますか？
エラーメッセージの内容の設定はあなたのファイル構成知らないので、他のメッセージと同じファイルに書くか新規に作ったファイルに書くでもいいと思います。
エラーメッセージはやり方は色々ありますが、「catch」内でエラーメッセージをセットしてredirect("/account")する際、セットしたエラーメッセージも併せて渡し、リダイレクト先のblade.php上にセットしたエラーメッセージを出力すればいいかと
あと気になったのですが、「$account = Account::where('name', $request->name)->firstOrFail();」をtryの前と中の2回同じもの書いている意味あります？
外に書くならtry~catch
する意味ないし、try~catchするなら前に書く意味ないです。前に書くなら初期化するべきです。

[退会済みユーザー]

本題とは直接関係ない話ですが、

> ユーザーIDが見つからなかったときのエラー表示。
>パスワードが不一致だったときのエラー表示。

その二つを区別して表示する (ユーザーに知らせる) のはセキュリティの問題があるので避けるべきです。

[退会済みユーザー]

質問者さんが自力で認証機能を実装しようとしているように見えますが、そうなんですか？

Laravel にはフレームワーク組み込みの認証機能があるそうですのでそれを使ってはいかがですか？

https://codezine.jp/article/detail/12920

初学者が自力で認証システムを実装するのは無理があります。

[3aki]

try-catch節の仕組みはわかります。
エラーメッセージのやり方は色々あるとのことですが、その一例としてでも他ファイルからエラーメッセージを取り出して、それを「「catch」内でエラーメッセージをセットしてredirect("/account")する際、セットしたエラーメッセージも併せて渡し、リダイレクト先のblade.php上にセットしたエラーメッセージを出力」する方法を教えていただきたかったです。
すみません、「$account = Account::where('name', $request->name)->firstOrFail();」はtry-catch節をコピペしたときに消し忘れていました。

[3aki]

差し支えなければそのセキュリティの問題がどのような問題なのか教えていただけませんか？

[3aki]

はい、自力で認証機能を実装しようとしていましたが、その「フレームワーク組み込みの認証機能」の存在を知りませんでした。
「簡単にできるから認証画面から作ってみて」と指示されたものの、全然簡単に思えなくてもう何週間も経っていました。
こんな便利なものがあったのですね。教えていただきありがとうございます。

[退会済みユーザー]

> 差し支えなければそのセキュリティの問題がどのような問題なのか教えていただけませんか？

例えば、ID は OK だがパスワードだダメということが分かってしまうなど、攻撃者にヒントを与えるからです。

[退会済みユーザー]

> 「簡単にできるから認証画面から作ってみて」と指示されたものの

ログイン画面を作るだけだったらそんなに難しくはないと思いますが、十分なセキュリティを保って認証システムの一つとして動かすのは非常に難しいことです。

[3aki]

たしかに。利用者には不便ですけど、攻撃者にとっても不便でなくてはならないんですね。
いえ、ログイン画面を作るの難しいです。

[退会済みユーザー]

> ユーザーIDが未入力だったときのエラー表示。
> パスワードが未入力だったときのエラー表示。

と

> ユーザーIDが見つからなかったときのエラー表示。
> パスワードが不一致だったときのエラー表示。

というレイヤーの違う検証を一緒にしてやろうとしているから、話がややこしくなっているように思えます。

前者は、たぶん、フレームワークにユーザー入力の検証機能が備わっていると思いますので、それを探して利用してはいかがですか？　洗練されたフレームワークなら、クライアント側とサーバー側の両方で検証するような仕組みを、ほとんどコードを書かないで実装できるものもあります。自分は Laraval は分かりませんが「laravel ユーザー入力 検証」とかでググるといろいろヒットしますので調べてみてはいかがですか？

後者はサーバー側で DB にアクセスして検証ということになるので、質問のコードのようなやり方になると思います。それもフレームワーク組み込みの機能を使いましょう。質問者さんのコードでは生のパスワードを DB に保存しているように見えますが、そうだとするとそこがまずセキュリティ的に問題です。まともなフレームワークならハッシュ、ソルト、ストレッチングを自動的にやってくれるはずです。

参考:

本当は怖いパスワードの話
https://atmarkit.itmedia.co.jp/ait/articles/1110/06/news154.html

Answer 1

「フレームワーク組み込みの認証機能」を知り解決