Laravel 8.x ハッシュ

イントロダクションIntroduction

LaravelのHashファサードは、ユーザーパスワードを保存するための安全なBcryptおよびArgon2ハッシュを提供します。Laravelアプリケーションスターターキットのいずれかを使用している場合、デフォルトで登録と認証にBcryptが使用されます。The Laravel Hash facade[/docs/{{version}}/facades] provides secure Bcrypt and Argon2 hashing for storing user passwords. If you are using one of the Laravel application starter kits[/docs/{{version}}/starter-kits], Bcrypt will be used for registration and authentication by default.

Bcryptは、その「作業係数」が調整可能であるため、パスワードのハッシュに最適です。つまり、ハードウェアの能力が上がると、ハッシュの生成にかかる時間が長くなる可能性があります。パスワードをハッシュする場合は、遅いのが利点です。アルゴリズムがパスワードをハッシュするのに時間がかかるほど、悪意のあるユーザーがアプリケーションに対するブルートフォース攻撃で使用される可能性のあるすべての文字列ハッシュ値の「レインボーテーブル」を生成するのにかかる時間が長くなります。Bcrypt is a great choice for hashing passwords because its "work factor" is adjustable, which means that the time it takes to generate a hash can be increased as hardware power increases. When hashing passwords, slow is good. The longer an algorithm takes to hash a password, the longer it takes malicious users to generate "rainbow tables" of all possible string hash values that may be used in brute force attacks against applications.

設定Configuration

アプリケーションのデフォルトのハッシュドライバは、アプリケーションのconfig/hashing.php設定ファイルで設定されます。現在サポートしているドライバはいくつかあります:BcryptおよびArgon2(Argon2iおよびArgon2idバリアント)です。The default hashing driver for your application is configured in your application's config/hashing.php configuration file. There are currently several supported drivers: Bcrypt[https://en.wikipedia.org/wiki/Bcrypt] and Argon2[https://en.wikipedia.org/wiki/Argon2] (Argon2i and Argon2id variants).

Note: note Argon2iドライバーはPHP7.2.0以降が必要であり、Argon2idドライバーにはPHP7.3.0以降が必要です。{note} The Argon2i driver requires PHP 7.2.0 or greater and the Argon2id driver requires PHP 7.3.0 or greater.

基本的な使用法Basic Usage

パスワードのハッシュHashing Passwords

Hashファサードでmakeメソッドを呼び出すことにより、パスワードをハッシュすることができます。You may hash a password by calling the make method on the Hash facade:

<?php

namespace App\Http\Controllers;

use App\Http\Controllers\Controller;
use Illuminate\Http\Request;
use Illuminate\Support\Facades\Hash;

class PasswordController extends Controller
{
    /**
     * ユーザーのパスワードを更新
     *
     * @param  \Illuminate\Http\Request  $request
     * @return \Illuminate\Http\Response
     */
    public function update(Request $request)
    {
        // 新しいパスワードの長さをバリデート…

        $request->user()->fill([
            'password' => Hash::make($request->newPassword)
        ])->save();
    }
}

Bcryptの作業係数の調整Adjusting The Bcrypt Work Factor

Bcryptアルゴリズムを使用している場合、makeメソッドを使用すると、roundsオプションを使用してアルゴリズムの作業係数を管理できます。ただし、Laravelが管理するデフォルトの作業係数は、ほとんどのアプリケーションで適切でしょう。If you are using the Bcrypt algorithm, the make method allows you to manage the work factor of the algorithm using the rounds option; however, the default work factor managed by Laravel is acceptable for most applications:

$hashed = Hash::make('password', [
    'rounds' => 12,
]);

Argon2作業係数の調整Adjusting The Argon2 Work Factor

Argon2アルゴリズムを使用している場合、makeメソッドを使用すると、memory、time、threadsオプションを使用してアルゴリズムの作業要素を管理できます。ただし、Laravelが管理するデフォルト値は、ほとんどのアプリケーションで適切でしょう。If you are using the Argon2 algorithm, the make method allows you to manage the work factor of the algorithm using the memory, time, and threads options; however, the default values managed by Laravel are acceptable for most applications:

$hashed = Hash::make('password', [
    'memory' => 1024,
    'time' => 2,
    'threads' => 2,
]);

lightbulb">Tip!! これらのオプションの詳細には、Argonハッシュに関するPHP公式ドキュメントを参照してください。{tip} For more information on these options, please refer to the official PHP documentation regarding Argon hashing[https://secure.php.net/manual/en/function.password-hash.php].

パスワードがハッシュと一致するかの確認Verifying That A Password Matches A Hash

Hashファサードが提供するcheckメソッドを使用すると、指定するプレーンテキスト文字列が指定するハッシュに対応することを確認できます。The check method provided by the Hash facade allows you to verify that a given plain-text string corresponds to a given hash:

if (Hash::check('plain-text', $hashedPassword)) {
    // パスワードが一致
}

パスワードを再ハッシュする必要があるかの判断Determining If A Password Needs To Be Rehashed

Hashファサードが提供するneedsRehashメソッドを使用すると、パスワードがハッシュされてから、ハッシャーによって使用される作業要素が変更されたかどうかを判別できます。一部のアプリケーションは、アプリケーションの認証プロセス中にこのチェックを実行することを選択しています。The needsRehash method provided by the Hash facade allows you to determine if the work factor used by the hasher has changed since the password was hashed. Some applications choose to perform this check during the application's authentication process:

if (Hash::needsRehash($hashed)) {
    $hashed = Hash::make('plain-text');
}