常連

WindowsのPCでVirtualBox上でCentOS7を使っています。

su
su root
などのコマンドでrootユーザーに切り替えができません。

以下2つのユーザーがいます。
root
taro

taroでログイン中にsuコマンドを使うと、
パスワード入力を求めら、rootのパスワードを入れると
su: Authentication failure
と表示されます。
以前はこの手順でrootに切り替わっていました。

exitコマンドで、taroを一旦ログアウト、
VirtualBoxのターミナル上に
localhost login: 
というプロンプトが出てきて
root
と入力しエンター、
Password:
というプロンプトが出てきて
rootのパスワードを入力しエンター。

これでログインできるので
rootのパスワードが間違っている訳ではないです。

確認のために
useradd jiro
passwd jiro
コマンドで新しくjiroというユーザーを作成。

rootでログイン中
su taro
su jiro
どちらも成功。
パスワード入力を求められず、ユーザーが切り替わる。

taroでログイン中
su root
su jiro
どちらも失敗。
パスワード入力を求められ、正しいパスワードを入力したはずなのに
su: Authentication failure

jiroでログイン中
su root
su taro
どちらも失敗。
パスワード入力を求められ、正しいパスワードを入力したはずなのに
su: Authentication failure

rootユーザーに切り替わらないというよりは、suコマンドのパスワード照合処理がうまいくっていないという印象？

suコマンドが使えなくなる現象について、何かご存知でしたらアドバイスをお願いします。

CentOS7、suコマンドでrootにログインできない、パスワードは絶対あっているのになぜ？

mac M1 python3.7.2 django2.2.2 django-allauth0.39.1

動かして学ぶ! Python Django開発入門 (NEXT ONE) という本でdjangoを学習中です。

django-allauthを使って認証機能を実装しました。

その後
```
python manage.py migrate
```
をターミナルに打ち込むと以下のようになるはずなのですが
```python
Operations to perform:
 Apply all migrations: account, accounts, admin, auth, contenttypes, a sessions, sites 
Running migrations:
 Applying account.0001 initial... OK
 Applying account.0002_email_max_length... OK
 Applying sites.0001_initial... OK
 Applying sites.0002_alter_domain_unique... OK
 Process finished with exit code 0
```
実際にやるとこのようになってしまいます。
```python
Operations to perform:
  Apply all migrations: account, accounts, admin, auth, contenttypes, sessions, sites
Running migrations:
  No migrations to apply.
```

### やってみたこと

```
python manage.py makemigrations
```
は前の章で実行済みで、また何回かmigrateディレクトリを消してやり直してみたりしましたが結果は同じでした。
```
Migrations for 'accounts':
  accounts/migrations/0001_initial.py
    - Create model CustomUser
```

showmigrationsを実行すると以下のように帰ってきました。
```
account
 [X] 0001_initial
 [X] 0002_email_max_length
accounts
 [X] 0001_initial
admin
 [X] 0001_initial
 [X] 0002_logentry_remove_auto_add
 [X] 0003_logentry_add_action_flag_choices
auth
 [X] 0001_initial
 [X] 0002_alter_permission_name_max_length
 [X] 0003_alter_user_email_max_length
 [X] 0004_alter_user_username_opts
 [X] 0005_alter_user_last_login_null
 [X] 0006_require_contenttypes_0002
 [X] 0007_alter_validators_add_error_messages
 [X] 0008_alter_user_username_max_length
 [X] 0009_alter_user_last_name_max_length
 [X] 0010_alter_group_name_max_length
 [X] 0011_update_proxy_permissions
contenttypes
 [X] 0001_initial
 [X] 0002_remove_content_type_name
sessions
 [X] 0001_initial
sites
 [X] 0001_initial
 [X] 0002_alter_domain_unique

```
これを機にmigrateについて詳しく調べましたが、いまいちわかりにくく行き詰まっています。
このような場合どのような視点から対処していくのか教えていただけるとありがたいです。

migrateしてもNo migrate to applyになる原因と対処法がわかりません

### 実現したいこと

- LaravelのSanctumで認証しているパスにアクセスしたい
- 正常にトークンを渡した際に認証エラー(401)が出ないようにしたい

誰か知見のある方、いたら教えていただけると助かります。

### 前提

Laravel8系
Sanctum認証
ローカル環境(localhost) / 本番環境両方(サブドメイン.ドメイン.com)


### 発生している問題・エラーメッセージ

LaravelのSanctumでトークンによる認証機能を実装し、
ユーザー登録、ログインまで完了し、正常にトークンが取得できるが
トークンをヘッダーに付与しても401になってしまう。

これはローカル環境(localhost)でも本番環境(サブドメイン.ドメイン.com)でも発生しており、
Laravelの`php artisan serve`で立ち上げた`http://127.0.0.1:8000`で動作確認すると正常に認証できる。

ローカル環境はlocalhost/dev/というパスでLaravelのルートにアクセスできるように改修してあり、
本番環境はサブドメインを使用しています。

動作確認はPostman、curlの両方で試していますが、どちらも`http://127.0.0.1:8000`では成功し、
それ以外では401になります。

curlは以下のコマンドです。

```
// 新規登録
$ curl -X POST http://localhost/dev/api/register \
-H "Content-Type: application/json" \
-d '{
  "name": "testuser",
  "email": "testuser@example.com",
  "password": "password123",
  "password_confirmation": "password123"
}'



// ログイン
$ curl -X POST http://localhost/dev/api/login \
-H "Content-Type: application/json" \
-d '{
  "email": "testuser@example.com",
  "password": "password123"
}'

{"access_token":"15|JKgAatMkcTooeZAW03BvoG0FvQbCkuxTuCZVv4dD","token_type":"Bearer"}%   



// 認証ルート(ユーザー情報取得)
$ curl -X GET http://localhost/dev/api/user \
-H "Authorization: Bearer 15|JKgAatMkcTooeZAW03BvoG0FvQbCkuxTuCZVv4dD" \
-H "Content-Type: application/json"

{
    "message": "認証に失敗しました。トークンが無効または期限切れです。"
}
```

サーバーを変更した場合に成功することができるのでLaravel側でのSanctumにおける設定には問題がないのかなとも思っておりますが、localhostやドメインが変わっているのでそこらへんの指定なのかなと思って調べてみましたが、解消できませんでした。

キャッシュかなと思い`-H 'Cache-Control: no-cache'`を付与したりしてみましたが特に変化はありませんでした。


### 該当のソースコード

```php:api.php
Route::post('register', [AuthController::class, 'register']);
Route::post('login', [AuthController::class, 'login']);
Route::middleware('auth:sanctum')->get('user', [AuthController::class, 'user']);
Route::middleware('auth:sanctum')->post('logout', [AuthController::class, 'logout']);
```


```php:sanctum.php
    'stateful' => explode(',', env('SANCTUM_STATEFUL_DOMAINS', sprintf(
        '%s%s',
        'localhost,localhost:3000,127.0.0.1,127.0.0.1:8000,::1,サブドメイン.ドメイン.com',
        env('APP_URL') ? ','.parse_url(env('APP_URL'), PHP_URL_HOST) : ''
    ))),
```

```php:AuthController.php
class AuthController extends Controller
{
    // 新規登録
    public function register(Request $request)
    {
        // バリデーションルール
        $rules = [
            'name' => 'required|string|max:255',
            'email' => 'required|email|unique:users',
            'password' => 'required|string|min:8|confirmed',
        ];

        // バリデーション
        $validator = Validator::make($request->all(), $rules);

        // バリデーションエラー時の処理
        if ($validator->fails()) {
            return response()->json([
                'error' => 'Validation error.',
                'messages' => $validator->errors()
            ], 422);
        }

        // Laravel認証ユーザーを生成
        $user = User::create([
            'name' => $request['name'],
            'email' => $request['email'],
            'password' => Hash::make($request['password']),
        ]);

        // 成功レスポンスを返す
        return response()->json(['message' => 'User registered successfully'], 201);
    }

    // ログイン
    public function login(Request $request)
    {
        $request->validate([
            'email' => 'required|email',
            'password' => 'required',
        ]);
        // メールアドレスで検索
        $user = User::where('email', $request->email)->first();

        if (!$user || !Hash::check($request->password, $user->password)) {
            throw ValidationException::withMessages([
                'email' => ['The provided credentials are incorrect.'],
            ]);
        }

        // 認証用トークンを取得
        $token = $user->createToken('auth_token')->plainTextToken;

        return response()->json([
            'access_token' => $token,
            'token_type' => 'Bearer',
        ]);
    }

    // ログアウト
    public function logout(Request $request)
    {
        $request->user()->tokens()->delete();

        return response()->json(['message' => 'Logged out successfully']);
    }

    // 認証ユーザー情報
    public function user(Request $request)
    {
        return response()->json($request->user());
    }
}

```



LaravelのSanctumで未認証(401)になってしまう

WEB.ASPX でサイトを構築して運用しています。

正しいユーザのみに公開したサイトなので、
web.config の設定で、サイトアクセス時にはまず　login.aspx を通るようにしています。
 [ web.config の設定 ]
<authentication mode="Forms">
	<forms loginUrl="login.aspx"/>
</authentication>

login.aspx にて正しいID/PASS を入力して
サイト内のページ page1.aspx , page2.aspx ,,, といくつかのページに移動した後に 
logout.aspx にてログアウトします。
その後に、ブラウザのURL欄に　直接　page1.aspx と入力してアクセスすると、login.aspx にリダイレクトされます。

ここまではいいのですが、
その後、あらためて、login.aspxにて正しいID/PASSにてログインしたあと、page1.aspx に移動しようとすると、
強制的に login.aspx にリダイレクトされるようになってしまい、以降は決して　page1.aspx にはアクセスできなくなります。
page2,,など他のページは見れます。

page1.aspx は必要なページなので、アクセスする必要があります。
解決策はありませんでしょうか？

なお、
当該現象は、サイト管理者　と　ユーザ　で発生しています。
試しに ブラウザを変えてアクセスすると当該現象は発生しません(page1.aspxは見れます)

・サイト管理者のPC(OS:WIN10) : 現象が発生したブラウザ : Edge (chromeでは、見れます)
・ユーザPC(OS:WIN10): 現象が発生したブラウザ : Chrome (Edgeでは、見れます)

見れなくなるページは、URLに直接入力したページが見れなくなる模様です
・サイト管理者: page1.aspx と page3.aspx　が全く見れなくなった  (page2.aspx は見れる)
・ユーザ: page2.aspx　が全く見れなくなった　(page1.aspx, page3.aspxは見れる。実はユーザからの問い合わせの調査で管理者PCも見れなくなった、、)

PCを再起動しても見れないままです。

IISのログは、見れているページへのアクセスは記録がありますが、見れなくなったページへのアクセスは、アクセス自体が記録されていません。
　ログに記載することもなく強制的にリダイレクトしている模様？

WEBサーバを再起動しても見れないままです

aspxのプログラムを若干変更して、再ビルドしてプロジェクトを入れ替えても、見れないままです。

page1.aspx など各ページは業務に必要ですので見れる必要があります。
解決策はありませんでしょうか？

<サーバ情報>
・サーバOS : WindowsServer2019 Essentials
・IIS : 10.0.17763.1
・SSL化済み

これまで数年間運用してきたサイトです。
この前の2021年10月に 上記サーバに移行し、SSL化しました。

よろしくお願いいたします。

  < +++  以下を追加 2021/12/09 11:50 +++ >

サーバ移行にあたり、web.config を一部変更しました
以前は　IIS6　で運用していたので、system.web.extensions の設定が必要でしたが、
今回iis10 では　system.webserver を使うとのこで、当該の記載があるとエラーが出て動かなくなるので、項目ごとコメント化しました。
　(構成エラー　: 定義済みの xxx セクションが重複しています　とのこと)

コメント化した部分は次の通り (トークンの部分のみ XXXX に変更)

```
<configSections>
		<sectionGroup name="system.web.extensions" type="System.Web.Configuration.SystemWebExtensionsSectionGroup, System.Web.Extensions, Version=3.5.0.0, Culture=neutral, PublicKeyToken=XXXXXXXXX">
			<sectionGroup name="scripting" type="System.Web.Configuration.ScriptingSectionGroup, System.Web.Extensions, Version=3.5.0.0, Culture=neutral, PublicKeyToken=XXXXXXXXX">
				<section name="scriptResourceHandler" type="System.Web.Configuration.ScriptingScriptResourceHandlerSection, System.Web.Extensions, Version=3.5.0.0, Culture=neutral, PublicKeyToken=XXXXXXXXX" requirePermission="false" allowDefinition="MachineToApplication"/>
				<sectionGroup name="webServices" type="System.Web.Configuration.ScriptingWebServicesSectionGroup, System.Web.Extensions, Version=3.5.0.0, Culture=neutral, PublicKeyToken=XXXXXXXXX5">
					<section name="jsonSerialization" type="System.Web.Configuration.ScriptingJsonSerializationSection, System.Web.Extensions, Version=3.5.0.0, Culture=neutral, PublicKeyToken=XXXXXXXXX" requirePermission="false" allowDefinition="Everywhere"/>
					<section name="profileService" type="System.Web.Configuration.ScriptingProfileServiceSection, System.Web.Extensions, Version=3.5.0.0, Culture=neutral, PublicKeyToken=XXXXXXXXX" requirePermission="false" allowDefinition="MachineToApplication"/>
					<section name="authenticationService" type="System.Web.Configuration.ScriptingAuthenticationServiceSection, System.Web.Extensions, Version=3.5.0.0, Culture=neutral, PublicKeyToken=XXXXXXXXX" requirePermission="false" allowDefinition="MachineToApplication"/>
					<section name="roleService" type="System.Web.Configuration.ScriptingRoleServiceSection, System.Web.Extensions, Version=3.5.0.0, Culture=neutral, PublicKeyToken=XXXXXXXXX" requirePermission="false" allowDefinition="MachineToApplication"/>
				</sectionGroup>
			</sectionGroup>
		</sectionGroup>
	</configSections>
```

頂いたアドバイスをふまえ、もしかしたら、項目の中の一部は必要だったのかもしれないと思い、
コメント化した項目は5項目あったので、先ほど試しに　1つずつ復活させながらやってみましたが、どれも上記の重複エラーが表示されました
　(5項目すべてコメント化したら重複エラーは出なくなった)


何か重要な項目の設定が不足しているのでしょうか？
重ねてよろしくお願いいたします。


  < +++  以下を追加 2021/12/09 15:45 +++ >

・もしかしたら、web.configの　下部にある　system.webServer の記述も関係あるかもと思いましたので追記します   (トークン部分のみ xxxx に変更)

```
	<system.webServer>
		<validation validateIntegratedModeConfiguration="false"/>
		<modules>
			<remove name="ScriptModule"/>
			<add name="ScriptModule" preCondition="managedHandler" type="System.Web.Handlers.ScriptModule, System.Web.Extensions, Version=3.5.0.0, Culture=neutral, PublicKeyToken=xxxxx"/>
		</modules>
		<handlers>
			<remove name="WebServiceHandlerFactory-Integrated"/>
			<remove name="ScriptHandlerFactory"/>
			<remove name="ScriptHandlerFactoryAppServices"/>
			<remove name="ScriptResource"/>
			<add name="ScriptHandlerFactory" verb="*" path="*.asmx" preCondition="integratedMode" type="System.Web.Script.Services.ScriptHandlerFactory, System.Web.Extensions, Version=3.5.0.0, Culture=neutral, PublicKeyToken=xxxxxx"/>
			<add name="ScriptHandlerFactoryAppServices" verb="*" path="*_AppService.axd" preCondition="integratedMode" type="System.Web.Script.Services.ScriptHandlerFactory, System.Web.Extensions, Version=3.5.0.0, Culture=neutral, PublicKeyToken=xxxxxxx"/>
			<add name="ScriptResource" preCondition="integratedMode" verb="GET,HEAD" path="ScriptResource.axd" type="System.Web.Handlers.ScriptResourceHandler, System.Web.Extensions, Version=3.5.0.0, Culture=neutral, PublicKeyToken=xxxxxx"/>
		</handlers>
	</system.webServer>
```
よろしくお願いいたします。

WEB.ASPXで強制的にリダイレクトされてしまい必要なページが見れなくなった

### 実現したいこと

Amazon Cognitoによるセッション管理を理解したいです。
今の私の頭の中のイメージです。

ログイン認証に成功したときにトークン（IDトークン、アクセストークン、更新トークン）を返却します。
これらのトークンはLocalStorage、またはSession Storageに格納されます。

### 発生している問題

補足情報にあるように、ログインに成功するとAmazon Cognitoはセッションを作成してトークンを返却するのですが、そのトークンの中にセッション情報が見当たらないため、本当にセッションが作成されていることを理解できませんでした。
ペイロードに存在するどの項目に注目すれば良いのでしょうか。


### 補足情報
[ユーザープールによる認証](https://docs.aws.amazon.com/ja_jp/cognito/latest/developerguide/authentication.html)
[ユーザープールのトークンの使用](https://docs.aws.amazon.com/ja_jp/cognito/latest/developerguide/amazon-cognito-user-pools-using-tokens-with-identity-providers.html)

### 追記
qiitaではありますが、Cookieでセッションを保存している旨の記事を発見しました。Storageに保存される認識ですが、Cookieにも保存される...?
[Cognitoのログイン、認可エンドポイント役割、挙動の説明](https://qiita.com/k_hoso/items/3868a6845ceac3e29f44)

Cognitoはセッション管理機能を有しているのでしょうか。

多くの登録制のウェブサイト(Twitterとfacebookで確認しました）は、ログイン時のパスワードをformのパラメーターに直接載せています。
しかし、パスワードが直接渡ると、サーバー側で**（`分かりづらかったため追記３：`"クラッカー"ではなく"サーバー管理者"に）**パスワードが抜き取られる可能性が出てくるので、ユーザーにとっては不安であると思います。
そこで、パスワードをブラウザ側でハッシュ化してから送るような仕組みにすればこの心配は無くなると思うのですが、そのようなことは行われていません。これはどのような理由によるものなのでしょうか。

ハッシュ化することの問題点として、
パスワードが推測されやすい文字列になっていないか確認できない。
というのが考えられますが、
レインボーテーブルなどを使えば最低限のチェックはできるのではないかと考えました。

```
追記１　質問の重複について：
SSLを利用したWebサービスでログインパスワードを安全に保存するには？(https://teratail.com/questions/49293)
既に同じような質問がありました。重複した質問をしてしまいました。すみません。（何故か議論が途中で途切れているようにみえますが）
```
```
追記２　タイトルの修正：
すでに解決した質問ですが、質問内容が伝わりづらかったため、タイトルに対して修正を行いました。
旧題：多くのサービスがログイン時に生のパスワードをそのまま送っているのはなぜか
改題：多くのサービスがログイン時に生のパスワードをそのまま送っているが、「サーバー管理者」にパスワードを悪用されることはないのか
```

```
追記４　感想：
ユーザーがサービス毎にパスワードを変えないことに問題があるという回答をいただき、解決済みとしました。
恥ずかしながら、私はサーバー管理者による悪用の対策としてパスワードを使いまわすことの問題点を知りませんでした。
要するにパスワードを使い回すな、ということで、質問文が分かりづらかったので、難しい質問だと捉えられてしまった方はすみませんでした。

しかし、パスワードを使いまわしているユーザーが８割以上いる現状を考えると、
パスワードを使いまわさないように周知すると同時に、
生のパスワードを送らせないためのなんらかの対策があったらいいなと思いました。

サービス側がクライアントサイドでハッシュ化していることを証明するのは無理でしょうが、クライアント側で解決できる問題なので、
例えばブラウザに、
デフォルトで1Passwordなどのツールをユーザーに使わせるようにしたり、
パスワードの入力画面を検出して、パスワードとドメイン名を結合したものをハッシュ化して置き換える、
（これならクライアント内で完結できますし、複数のコンピュータでも問題なく使えるはず）
などのような対策があったらいいのかなと思いました。

```

多くのサービスがログイン時に生のパスワードをそのまま送っているが、「サーバー管理者」にパスワードを悪用されることはないのか

### 前提・実現したいこと

自作のアプリケーションをデプロイするために
Herokuにブラウザからログインし、メールアドレスとパスワードを入力したところ、
次の画面が出てそれ以上先に進めなくなりました。

### 発生している問題・エラーメッセージ
![![イメージ説明](61a27edd695a859a1ff35aeb4f34a592.png)](496e8b47bee8a31fa0e1a7db5bba38d8.png)
```


### 試したこと

①ターミナルでheroku login -iと入力したところ、
　次のメッセージが表示されました。
>  ›   Error: Your account has (or is required to be) MFA enabled; API requests 
 ›   using basic authentication with email and password are not supported. 
 ›   Please generate an authorization token for API access. 
 ›
 ›   Error ID: mfa_required

②APIキーの再作成が必要とのことだったため、
heroku auth:tokenと入力したところ、
次のメッセージが表示されました。
>  ›   Error: Invalid credentials provided.
 ›
 ›   Error ID: unauthorized

③エラー内容で検索したところ、次の記事を見つけました。
https://qiita.com/okamoto_ryo/items/11c95873b4906c0eced0
この記事の内容に従ったところ、
ブラウザでのログインに推移し、やはり同じ画面が出てしまいます。



### 補足情報（FW/ツールのバージョンなど）
herokuのバージョンはheroku/7.54.1 darwin-x64 node-v12.21.0です。

herokuへのログインができない

現在私はcakephp4でログイン認証機能を作ろうと試みております。

cakephp4
Authentication 2.0

参考にしたサイト↓↓↓↓↓↓↓↓↓↓
[シンプルな認証と認可のアプリケーション](https://book.cakephp.org/4/ja/tutorials-and-examples/blog-auth-example/auth.html)

ログインページから名前とパスワードを入力しログインしようとすると、

> Table class for alias Users could not be found.
エイリアスUsersのテーブルクラスが見つかりませんでした。

というようなエラーメッセージが吐かれます。
このエラーメッセージで検索を行いましたが見当はずれのサイトばかりなのか自分の理解力がないのかで全く参考になるサイトがありませんでした。このエラーメッセージの原因と打開策をご教授お願い致します。

自身の見解は、controllerphpのlogin関数でlogメソッドで確認したところ
> Argument 1 passed to Cake\Controller\Controller::log() must be of the type string, object given, called in /var/www/html/sample/src/Controller/ContactsController.php on line 163

というエラーメッセージが吐かれていたのでlogin関数の$resultになにもデータが入っていないことが原因だと考えていますがどこが問題でデータがとれていないのでしょうか？
宜しくお願い致します。


```applicationphp
<?php
declare(strict_types=1);

/**
 * CakePHP(tm) : Rapid Development Framework (https://cakephp.org)
 * Copyright (c) Cake Software Foundation, Inc. (https://cakefoundation.org)
 *
 * Licensed under The MIT License
 * For full copyright and license information, please see the LICENSE.txt
 * Redistributions of files must retain the above copyright notice.
 *
 * @copyright Copyright (c) Cake Software Foundation, Inc. (https://cakefoundation.org)
 * @link      https://cakephp.org CakePHP(tm) Project
 * @since     3.3.0
 * @license   https://opensource.org/licenses/mit-license.php MIT License
 */
namespace App;

use Cake\Core\Configure;
use Cake\Core\ContainerInterface;
use Cake\Core\Exception\MissingPluginException;
use Cake\Datasource\FactoryLocator;
use Cake\Error\Middleware\ErrorHandlerMiddleware;
use Cake\Http\BaseApplication;
use Cake\Http\Middleware\BodyParserMiddleware;
use Cake\Http\Middleware\CsrfProtectionMiddleware;
use Cake\Http\MiddlewareQueue;
use Cake\ORM\Locator\TableLocator;
use Cake\Routing\Middleware\AssetMiddleware;
use Cake\Routing\Middleware\RoutingMiddleware;
use Authentication\AuthenticationService;
use Authentication\AuthenticationServiceInterface;
use Authentication\AuthenticationServiceProviderInterface;
use Authentication\Middleware\AuthenticationMiddleware;
use Cake\Routing\Router;
use Psr\Http\Message\ServerRequestInterface;


/**
 * Application setup class.
 *
 * This defines the bootstrapping logic and middleware layers you
 * want to use in your application.
 */
class Application extends BaseApplication implements AuthenticationServiceProviderInterface
{
    /**
     * Load all the application configuration and bootstrap logic.
     *
     * @return void
     */
    public function bootstrap(): void
    {
        // Call parent to load bootstrap from files.
        parent::bootstrap();

        if (PHP_SAPI === 'cli') {
            $this->bootstrapCli();
        } else {
            FactoryLocator::add(
                'Table',
                (new TableLocator())->allowFallbackClass(false)
            );
        }

        /*
         * Only try to load DebugKit in development mode
         * Debug Kit should not be installed on a production system
         */
        if (Configure::read('debug')) {
            $this->addPlugin('DebugKit');
        }

        // Load more plugins here
        $this->addPlugin('Authentication');
    }

    /**
     * Setup the middleware queue your application will use.
     *
     * @param \Cake\Http\MiddlewareQueue $middlewareQueue The middleware queue to setup.
     * @return \Cake\Http\MiddlewareQueue The updated middleware queue.
     */
    public function middleware(MiddlewareQueue $middlewareQueue): MiddlewareQueue
    {
        $middlewareQueue
            // Catch any exceptions in the lower layers,
            // and make an error page/response
            ->add(new ErrorHandlerMiddleware(Configure::read('Error')))

            // Handle plugin/theme assets like CakePHP normally does.
            ->add(new AssetMiddleware([
                'cacheTime' => Configure::read('Asset.cacheTime'),
            ]))

            // Add routing middleware.
            // If you have a large number of routes connected, turning on routes
            // caching in production could improve performance. For that when
            // creating the middleware instance specify the cache config name by
            // using it's second constructor argument:
            // `new RoutingMiddleware($this, '_cake_routes_')`
            ->add(new RoutingMiddleware($this))

            ->add(new AuthenticationMiddleware($this))


            // Parse various types of encoded request bodies so that they are
            // available as array through $request->getData()
            // https://book.cakephp.org/4/en/controllers/middleware.html#body-parser-middleware
            ->add(new BodyParserMiddleware())

            // Cross Site Request Forgery (CSRF) Protection Middleware
            // https://book.cakephp.org/4/en/controllers/middleware.html#cross-site-request-forgery-csrf-middleware
            ->add(new CsrfProtectionMiddleware([
                'httponly' => true
            ]));



        return $middlewareQueue;
    }

    /**
     * Register application container services.
     *
     * @param \Cake\Core\ContainerInterface $container The Container to update.
     * @return void
     * @link https://book.cakephp.org/4/en/development/dependency-injection.html#dependency-injection
     */
    public function services(ContainerInterface $container): void
    {
    }

    /**
     * Bootstrapping for CLI application.
     *
     * That is when running commands.
     *
     * @return void
     */
    protected function bootstrapCli(): void
    {
        try {
            $this->addPlugin('Bake');
        } catch (MissingPluginException $e) {
            // Do not halt if the plugin is missing
        }

        $this->addPlugin('Migrations');

        // Load more plugins here
    }

    public function getAuthenticationService(ServerRequestInterface $request): AuthenticationServiceInterface
{
    $authenticationService = new AuthenticationService([
        'unauthenticatedRedirect' => '/sample/contacts/login',
        'queryParam' => 'redirect',
    ]);

    // 識別子をロードして、電子メールとパスワードのフィールドを確認します
    $authenticationService->loadIdentifier('Authentication.Password', [
        'fields' => [
            'username' => 'email',
            'password' => 'password',
        ]
    ]);

    // 認証子をロードするには、最初にセッションを実行する必要があります
    $authenticationService->loadAuthenticator('Authentication.Session');
    // メールとパスワードを選択するためのフォームデータチェックの設定
    $authenticationService->loadAuthenticator('Authentication.Form', [
        'fields' => [
            'username' => 'email',
            'password' => 'password',
        ],
        'loginUrl' => '/sample/contacts/login',
    ]);

    return $authenticationService;
}
}

```

```controllerphp
public function beforeFilter(\Cake\Event\EventInterface $event)
    {
        parent::beforeFilter($event);
        $this->Authentication->allowUnauthenticated(['login', 'add']);
    }

    public function login()
    {
        $result = $this->Authentication->getResult();
        debug($result, true);
        // 認証成功
        if ($result->isValid()) {
            $target = $this->Authentication->getLoginRedirect() ?? '/home0';
            return $this->redirect($target);
        }
        // ログインできなかった場合
        if ($this->request->is('post') && !$result->isValid()) {
            $this->Flash->error('Invalid username or password');
        }
    }
```

```appcontroller
<?php
declare(strict_types=1);

/**
 * CakePHP(tm) : Rapid Development Framework (https://cakephp.org)
 * Copyright (c) Cake Software Foundation, Inc. (https://cakefoundation.org)
 *
 * Licensed under The MIT License
 * For full copyright and license information, please see the LICENSE.txt
 * Redistributions of files must retain the above copyright notice.
 *
 * @copyright Copyright (c) Cake Software Foundation, Inc. (https://cakefoundation.org)
 * @link      https://cakephp.org CakePHP(tm) Project
 * @since     0.2.9
 * @license   https://opensource.org/licenses/mit-license.php MIT License
 */
namespace App\Controller;

use Cake\Controller\Controller;
use Cake\ORM\TableRegistry;

/**
 * Application Controller
 *
 * Add your application-wide methods in the class below, your controllers
 * will inherit them.
 *
 * @link https://book.cakephp.org/4/en/controllers.html#the-app-controller
 */
class AppController extends Controller
{
    /**
     * Initialization hook method.
     *
     * Use this method to add common initialization code like loading components.
     *
     * e.g. `$this->loadComponent('FormProtection');`
     *
     * @return void
     */
    public function initialize(): void
    {
        parent::initialize();

        $this->Contacts = TableRegistry::get('contacts');

        $this->loadComponent('RequestHandler');
        $this->loadComponent('Flash');
        $this->loadComponent('Authentication.Authentication');
        /*
         * Enable the following component for recommended CakePHP form protection settings.
         * see https://book.cakephp.org/4/en/controllers/components/form-protection.html
         */
        //$this->loadComponent('FormProtection');
    }
}

```