【PHP】ログイン機能の仕組み・ソースコード解説｜ハッシュ値とは？

ケケンタ — Sat, 27 Jul 2024 07:23:55 +0000

ケケンタ

PHPでログイン機能を実装してみたいけど、いざ作ろうとすると何をどうしていいのか分からないな……

この記事ではPHPでログイン機能を実装する方法を解説します。

この記事で分かること

PHPにおけるログイン機能のソースコード解説
PHPでログイン機能を実装する上で必要な「セキュリティ対策」とそのソースコード
Webアプリケーションにおけるログイン機能の仕組み
パスワードを安全に管理する「ハッシュ化」について

PHPはこうして習得した！約１年間の勉強内容【プログラミング独学】

【PHP】エックスサーバーへデプロイする方法【初心者でも簡単！】

PHPにおけるログイン機能の仕組み

みなさんは「ログイン機能」と聞いて、具体的にどのような動きを思い浮かべるでしょうか？

恐らく多くの方は以下のような流れをイメージされるのではないかと思います。

一般的なログイン機能の流れ（イメージ）

会員登録をする
ログイン画面でIDやパスワードを入力する
ログインボタンを押す
（ログインに成功したら）サイトのトップページなどに遷移する（ログインに失敗したら）エラーメッセージが表示される
（ログイン後は）サイト内を回遊する

上記のような流れは、普段からIT技術に触れている、触れていないに関わらずイメージされるものかと思います。

しかし実を言うと、実際にプログラミングで「ログイン機能」を実装する場合、このイメージだけでは少し足りていない部分があります。

ケケンタ

その点を踏まえた上で、次節より
「ログイン機能を実装する上で理解していなければならない仕組み」
について解説をしていきます。

新規会員登録機能

新規会員登録機能の仕組み（実装する場合の処理の流れ）は以下の通りです。

新規会員登録機能の仕組み（処理の流れ）

ユーザーが会員登録フォームに必要情報を入力する
ユーザーが「登録」ボタンを押す
PHPで入力情報が正しいかどうか（同一ユーザーが存在しないかなど）をチェックする
データベースにユーザー情報を登録する
会員登録が完了したことをユーザーに知らせる

仕組みという点では、上記の流れをおおよそイメージできれば追加で解説する内容はありません。

PHPで素直に上記の流れを追うかたちでプログラミングすれば「新規会員登録機能」を実装することが可能です。

ただし、「④データベースにユーザー情報を登録する」では、パスワードを安全に管理するために「ハッシュ化」という処理を行う必要があります。
これについては後述する「パスワードを安全に管理する『ハッシュ値』の仕組み」で詳しく解説します。

ログイン機能

ログイン機能の仕組み（実装する場合の処理の流れ）は以下の通りです。

ログイン機能の仕組み（処理の流れ）

ユーザーがログインフォームに必要情報（ユーザーIDやパスワード）を入力する
ユーザーがログインボタンを押す
PHPで入力された「ユーザーID」が存在するかどうかをチェックする
（「ユーザーID」が存在すれば）「ユーザーID」を元にデータベースから会員情報を取得し、「パスワード」が正しいかどうかをチェックする
（「パスワード」が正しければ）ユーザーに対してセッションを割り当て、セッション変数に会員情報を格納する（★）

恐らく④までの流れは、多くの方がイメージされている通りかと思います。
（「新規会員登録機能」と同様、「パスワード」のチェックでは「ハッシュ化」が関係してきますが）

特筆すべきは「⑤ユーザーに対してセッションを割り当て、セッション変数に会員情報を格納する」の部分です。

ケケンタ

どうしてユーザーに対して「セッションを割り当てるのか」、「セッション変数に会員情報を格納するのか」については、すぐ次の節で解説します。

※そもそもセッションが何か分からないという方は以下の記事をご覧ください。

【PHP】セッションとクッキー？違いと使い方を解説

ログイン状態のチェック（セッション）

実を言うと、WebサイトやWebアプリケーションには、「ログイン状態を保持する仕組み」というモノが存在しません。

ケケンタ

どういうこと……？

と思われる方もたくさんいらっしゃるかと思います。

恐らく一般的なログイン機能に対するイメージは

ログインに成功したら、ログアウトするまでは（なんとなく）勝手にログイン状態が維持される

という感じかと思われます。

ケケンタ

僕もWebアプリの仕組みを知るまでは（なんとなく）こんな風に考えていました。

しかし、実際に「ログイン機能」を実装する場合の仕組みはそのようなシステム任せのものではなく、実装者がしっかりとセッションによって制御する必要があります。

（例）セッションを利用して「ログイン状態」をチェックする

ユーザーがログイン画面からログインをする
ユーザーがトップページにアクセスする
（と同時にPHPでセッション変数に「ユーザー情報」が正しく設定されているかどうかをチェックする）
ユーザーがページAへアクセスする
（と同時にPHPでセッション変数に「ユーザー情報」が正しく設定されているかどうかをチェックする）
ユーザーがページBへアクセスする
（と同時にPHPでセッション変数に「ユーザー情報」が正しく設定されているかどうかをチェックする）
ユーザーがページCへアクセスする
（と同時にPHPでセッション変数に「ユーザー情報」が正しく設定されているかどうかをチェックする）
ユーザーが再びページBへアクセスする
（と同時にPHPでセッション変数に「ユーザー情報」が正しく設定されているかどうかをチェックする）
ユーザーが「ログアウト」ボタンを押す
PHPでセッション変数から「ユーザー情報」を削除し、セッション自体も破棄する
ログイン画面へリダイレクトする

このように

ユーザーがログインした直後からは
ページ遷移する度に「ユーザー情報がセッション変数に設定されているかどうか」を逐一チェックする
ことで「ログイン済みかどうか」を確認する必要があります。

これはWebという仕組みが「ステートレス（以前の状態を維持しない性質）」であるためで、そもそもとしてWeb（正確にはHTTPやHTTPS通信）自体に「ログイン状態を自動で確認（保持）する仕組み」が無いことに由来しています。

ケケンタ

「ログイン機能」の裏側がこうした仕組みになっていることを初めて知ったという方にとっては少々まどろっこしく感じるかもしれませんが、実際のプログラム内容自体はそれほど複雑なものではないのでご安心ください
※詳しくは「【解説】PHPでログイン機能を実装する」の章の中で解説します。

FTPソフトを扱ったことがある方もいらっしゃるかもしれませんが、FTPは「ステートフル（以前の状態を保持する性質）」であるため、一度ログインをすれば通信を切断するまではログイン状態が維持される仕組みになっています。

Web技術の仕組みを詳しく知りたい方向けの書籍

プロになるためのWeb技術入門なぜ，あなたはWebシステムを開発できないのか [ 小森裕介 ]

パスワードを安全に管理する「ハッシュ値」の仕組み

先ほど新規会員登録機能の解説で「ハッシュ化」というキーワードが出てきました。

「ハッシュ化」もログイン機能を実装する上で非常に重要な概念のため、この章で詳しく解説します。

「ハッシュ値」とは？

「ハッシュ化」というのは

文字列や数値などのデータを「ハッシュ値」に変換すること

です。

では、そもそも「ハッシュ値」とはどんなものなのでしょう？

「ハッシュ値」とは？

入力されたデータに対する適当な値のこと
ランダムな文字列・数値の組み合わせ
よく似たものに「暗号」がある

よく比較に用いられるものとして「暗号」があります。

これはなんとなくイメージでご存じの方も多いかと思いますが、「暗号」も簡単に言えば「入力されたデータに対する適当（ランダム）な値のこと」です。

ケケンタ

え、それじゃあ「ハッシュ値」と「暗号」って何が違うの？

「ハッシュ値」と「暗号」の大きな違いは

元のデータに戻せるかどうか

です。

「ハッシュ値」と「暗号」の違い

ハッシュ値　……　元のデータ　→　ランダムな値　→　元のデータ　×
暗号　　　　……　元のデータ　→　ランダムな値　→　元のデータ　○

「暗号」は一度ランダムな値に変換した後も元のデータへ戻せますが（これを「復号」と言います）、
「ハッシュ値」は元のデータに戻せません。

つまり、「ハッシュ化」は一方通行ということです。

「ハッシュ化」することでパスワードを安全に管理できる

パスワードを安全に管理する上で重要なポイントは、主に以下の点です。

パスワードを安全に管理する上で重要なポイント

ネット上の通信において、パスワードが「平文＝そのままの状態」で送信されないようにする（HTTPS通信による暗号化を用いる）
パスワードをデータベースから簡単に抜き出せないよう対策する（SQLインジェクション対策）
システム管理者がデータベースを見ても、パスワードが分からないようにする（ハッシュ化）
万が一、パスワード（ハッシュ値）が漏洩しても、復元できない状態にしておく（ハッシュ化）

①や②についてはまた別の対策になりますが、③、④についてはパスワードを「ハッシュ化」をすることで実現可能です。

パスワードを「ハッシュ化」して「ハッシュ値」の状態で保存しておくことにより、システム管理者や攻撃者が元々のパスワードを知れないようにできます。

ケケンタ

攻撃者だけではなく、システム管理者にも元々のパスワードが分かってしまわないようにするというのも大きなポイントです。

入力されたパスワードが正しいかどうかを「ハッシュ値」で判定する方法

しかし、ここで疑問に思う方もいらっしゃるかもしれません。

ケケンタ

「ハッシュ値」は元の文字列に戻せないのに、どうやって「入力されたパスワード」が正しいかどうかを判定するんだろう……？

この疑問はつまり、「ハッシュ値自体からはそもそもパスワードを復元できないのだから、ユーザーが入力したパスワードと保存されているパスワード（ハッシュ値）の比較ができないのでは？」ということです。

この疑問は「ハッシュ化」の性質を知ることでスッキリ解消できます。

「ハッシュ化」の性質

一度ハッシュ化した文字列は、元の文字列には復元できない（変換は一方通行）
同じ文字列を同じルールに従ってハッシュ化すると、必ず同じハッシュ値になる

ここで特に重要なのが「②同じ文字列を同じルールに従ってハッシュ化すると、必ず同じハッシュ値になる」です。

これはつまり

入力されたパスワードをハッシュ化した文字列（ハッシュ値）
データベースに保存されているハッシュ値

この２つを比較して等しければ、入力されたパスワードが正しいと判定できることを意味します。

ここからは具体的にPHPにおけるログイン機能の実装方法を解説していきます。

ページ構成・機能イメージ

今回作成するログイン機能のページ構成

トップページ
ログインページ
新規会員登録ページ

ページごとの大まかな機能

ページ	実装機能
トップページ	ログインしていない状態でアクセスされたら「ログインページ」へ強制リダイレクトログアウト機能ログイン中のユーザー情報の表示
ログインページ	ログイン機能ログイン認証機能（入力情報に誤りがあったらエラーメッセージを返す）
新規会員登録ページ	新規会員登録機能既存会員情報チェック機能（すでに登録済みのIDが入力されていたらエラーメッセージを返す）

ページごとの大まかな機能

ページ構成

ファイル構成

ファイル構成は以下の通りです。

ファイル構成

データベース構成

データベース構成は以下の通りです。

テーブル

テーブル名	説明
user	ユーザー情報を登録する

テーブル

userテーブルのカラム構成

カラム名	説明
id	データを識別するための一意の値 ※データが追加されるごとに自動で設定（AUTO INCREMENT）
name	ユーザー名
login_id	ログインID　※他ユーザーとの重複不可
password	パスワード
created_at	会員登録日時

userテーブルのカラム構成

ソースコード解説

早速ですが、まずは今回解説するソースコード全体を掲載します。

★印が付いている部分は、記載のセキュリティ攻撃対策用のソースコードになっています。

 PDO::ERRMODE_EXCEPTION, // 例外が発生した際にスローする
            PDO::ATTR_EMULATE_PREPARES => false,                  // （★SQLインジェクション）
        ]);

        /**
         * 会員情報重複チェック
         * 入力されたIDがすでに登録済みかどうかをチェックする
         */
        $sql = ('
            SELECT login_id 
            FROM user 
            WHERE login_id = :LOGIN_ID;
        ');
        $stmt = $pdo->prepare($sql);
        // プレースホルダーに値をセット
        $stmt->bindValue(':LOGIN_ID', $login_id, PDO::PARAM_STR);
        // SQL実行
        $stmt->execute();
        // ユーザ情報の取得
        $user_info = $stmt->fetchAll(PDO::FETCH_ASSOC);

        // ユーザ情報が取得できている＝件数が「1」の場合はエラーメッセージを返す
        if (count($user_info)) {
            $err_msg = 'そのIDはすでに使用されています。';
        } else {
            /**
             * 会員情報登録処理
             */
            $sql = ('
                INSERT INTO
                    user (name, login_id, password)
                VALUES
                    (:NAME, :LOGIN_ID, :PASSWORD)
            ');
            $stmt = $pdo->prepare($sql);
            // プレースホルダーに値をセット
            $stmt->bindValue(':NAME',     $name,          PDO::PARAM_STR);
            $stmt->bindValue(':LOGIN_ID', $login_id,      PDO::PARAM_STR);
            $stmt->bindValue(':PASSWORD', $password_hash, PDO::PARAM_STR);
            // SQL実行
            $stmt->execute();

            // ログイン画面へ遷移
            $msg = urlencode("会員登録が完了しました。");
            header('Location: ./login.php?msg=' . $msg);
            exit();
        }
    } catch (PDOException $e) {
        echo '接続失敗' . $e->getMessage();
        exit();
    }
    // DBとの接続を切る
    $pdo = null;
    $stmt = null;
}
?>




    
    
    会員登録画面
    


    
        会員登録画面

        
        ' . $err_msg . '' ; ?>

        
            ニックネーム
            ID
            パスワード
            

            ';
            ?>
        

        ログイン画面へ戻る

 PDO::ERRMODE_EXCEPTION, // 例外が発生した際にスローする
            PDO::ATTR_EMULATE_PREPARES => false,                  // （★SQLインジェクション対策）
        ]);

        /**
         * ログイン処理
         */
        $sql = ('
            SELECT login_id, password, name
            FROM user
            WHERE login_id = :LOGIN_ID
        ');
        $stmt = $pdo->prepare($sql);
        // プレースホルダーに値をセット
        $stmt->bindValue(':LOGIN_ID', $login_id, PDO::PARAM_STR);
        // SQL実行
        $stmt->execute();
        
        /**
         * ログイン情報が正しいかをチェック
         */
        $user_info = $stmt->fetchAll(PDO::FETCH_ASSOC);
        if (count($user_info) && password_verify( $password, $user_info[0]['password'] )) {

            // ログイン状態確認用にセッションにデータ保存（★ログイン機能の実現）
            $_SESSION['user'] = array(
                'name'     => $user_info[0]['name'],
                'login_id' => $user_info[0]['login_id'],
            );

            // ログイン後はトップページへ遷移する
            header('Location: ./index.php');
            exit();
        } else {
            $err_msg = 'ログイン情報に誤りがあります。';
        }

    } catch (PDOException $e) {
          echo '接続失敗' . $e->getMessage();
          exit();
    }
    // DBとの接続を切る
    $pdo = null;
    $stmt = null;
}
?>




    
    
    ログイン画面
    


    
        ログイン画面

        
        ' . $success_logout_msg . '' ; ?>
        
        
        ' . $err_msg . '' ; ?>

        
            ID
            パスワード
            

            ';
            ?>
        
    
        会員登録はこちら






    
    
    ログイン後の画面


    ';
    echo 'ユーザー名：' . htmlspecialchars($_SESSION['user']['name'], ENT_QUOTES, 'UTF-8');
    ?>

    
        

        ';
        ?>

div {
    text-align: center;
}

p {
    display: flex;
    justify-content: center;
    column-gap: 10px;
    margin: 0 auto 10px auto;
}

p > label {
    width: 100px;
    text-align: right;
}

p > input {
    flex: 1;
    max-width: 200px;
}

a {
    display: inline-block;
    margin-top: 20px;
}

.err-msg {
    color: red;
    font-weight: bold;
}

【PHP】SQLインジェクションの原因や攻撃手法【対策コード付き】

【XSS】クロスサイト・スクリプティングとは？対策方法も解説【PHP】

【CSRF】攻撃の流れやPHPでの対策方法を解説【クロスサイトリクエストフォージェリ】

解説の流れ

通常、ユーザーがログイン機能を利用する際は、下記の手順を踏みます。

新規会員登録
ログイン
トップページへアクセス

本記事の解説も、基本的に上記の流れにそって進めさせていただきます。

各ページの処理で内容が重複する部分については、２度目の解説を割愛させていただきます。

新規会員登録ページ

ソースコード

ログイン機能 – ケケンタの独学ITブログ

【PHP】ログイン機能の仕組み・ソースコード解説｜ハッシュ値とは？

PHPにおけるログイン機能の仕組み

新規会員登録機能

ログイン機能

ログイン状態のチェック（セッション）

パスワードを安全に管理する「ハッシュ値」の仕組み

「ハッシュ値」とは？

「ハッシュ化」することでパスワードを安全に管理できる

入力されたパスワードが正しいかどうかを「ハッシュ値」で判定する方法

【解説】PHPでログイン機能を実装する

ページ構成・機能イメージ

ファイル構成

データベース構成

ソースコード解説

会員登録画面

新規会員登録ページ