ログイン機能の落とし穴：セッション管理

レン

ログイン機能って、パスワードが合ってたら通せばいいんだよね？

プロクラ

そこは入口だけの話だよ。難しいのはその後、「この人はさっきログインした人だ」とページを移動しても分かり続ける仕組みのほうなんだ。これをセッション管理と言う。

仕組み

プロクラ

ログインに成功したら、サーバーが推測できない長いランダムな文字列を発行して、利用者のブラウザに預ける。以降はそれを見せてもらうことで本人だと判断するんだ。いわば入場券だね。

ウィルスン

つまり、その入場券さえ手に入れば、ワタシはパスワードを知らずともキミになりすませる。だから狙うのはパスワードではなく、この券のほうだ。

やりがちな失敗

• 推測できる値を使う（連番、ユーザーIDそのもの、時刻など）
• HTTPSにしていない（通信を覗かれれば券が丸見えになる）
• CookieにHttpOnly属性を付けない（XSSでプログラムから読み取られてしまう）
• Secure属性を付けない（暗号化されていない通信でも送られてしまう）
• ログアウトしてもサーバー側で無効化しない（券が生き続ける）
• 有効期限が無い、または長すぎる

レン

けっこう項目が多い…全部自分で作るの大変そう。

プロクラ

だから認証は自作しないのが基本だよ。フレームワーク標準の仕組みか、実績ある認証ライブラリ・サービスを使おう。ここは「車輪の再発明」が最も損をする領域なんだ。落とし穴が多すぎて、自作で全部埋めるのは現実的じゃない。

プロクラ

あと1つ。パスワードをデータベースに保存するときは、必ず専用の方式でハッシュ化してね。そのまま保存するのは論外だし、単純なハッシュも不十分。この用途に作られた仕組みを使うことが大事だよ。