【PHP8.x】PASSWORD_BCRYPT_DEFAULT_COST定数の使い方

Copy
1<?php
2
3/**
4 * PHPのパスワードハッシュ機能におけるデフォルトコスト定数とその利用例を示します。
5 *
6 * システムエンジニアを目指す初心者向けに、PASSWORD_BCRYPT_DEFAULT_COST定数の値と、
7 * password_hash()関数でコストを明示的に指定しない場合にどのように利用されるかを解説します。
8 */
9function demonstratePasswordDefaultCost(): void
10{
11    // PASSWORD_BCRYPT_DEFAULT_COST定数の値を出力します。
12    // この定数は、password_hash()関数でBCRYPTアルゴリズムを使用する際に、
13    // コストが指定されなかった場合のデフォルトの計算負荷を表します。
14    echo "PASSWORD_BCRYPT_DEFAULT_COST の値: " . PASSWORD_BCRYPT_DEFAULT_COST . "\n\n";
15
16    $password = 'mySecurePassword123';
17
18    // コストを明示的に指定せずにパスワードをハッシュ化します。
19    // この場合、PHPは内部的に PASSWORD_BCRYPT_DEFAULT_COST の値を使用します。
20    echo "コストを指定せずにパスワードをハッシュ化:\n";
21    $hashedPasswordDefault = password_hash($password, PASSWORD_BCRYPT);
22    echo "ハッシュ値 (デフォルトコスト): " . $hashedPasswordDefault . "\n";
23
24    // ハッシュ値が正しいかどうかを検証します。
25    if (password_verify($password, $hashedPasswordDefault)) {
26        echo "検証成功: デフォルトコストでハッシュ化されたパスワードは正しいです。\n\n";
27    } else {
28        echo "検証失敗: デフォルトコストでハッシュ化されたパスワードは正しくありません。\n\n";
29    }
30
31    // 参考として、デフォルトとは異なるカスタムコストを指定してハッシュ化する例です。
32    // コスト値を高くするほど、ハッシュ化にかかる時間とメモリが増加し、
33    // ブルートフォース攻撃に対する耐性が向上しますが、処理時間も長くなります。
34    $customCost = 12; // デフォルト(10)より高いコストを指定
35    echo "カスタムコスト (" . $customCost . ") を指定してパスワードをハッシュ化:\n";
36    $options = ['cost' => $customCost];
37    $hashedPasswordCustom = password_hash($password, PASSWORD_BCRYPT, $options);
38    echo "ハッシュ値 (カスタムコスト " . $customCost . "): " . $hashedPasswordCustom . "\n";
39
40    // カスタムコストでハッシュ化されたパスワードの検証
41    if (password_verify($password, $hashedPasswordCustom)) {
42        echo "検証成功: カスタムコストでハッシュ化されたパスワードは正しいです。\n";
43    } else {
44        echo "検証失敗: カスタムコストでハッシュ化されたパスワードは正しくありません。\n";
45    }
46}
47
48// 関数を実行してサンプルコードの動作を確認します。
49demonstratePasswordDefaultCost();

PHPのPASSWORD_BCRYPT_DEFAULT_COSTは、パスワードのハッシュ化に広く利用されるBCRYPTアルゴリズムにおいて、コストを明示的に指定しない場合に適用されるデフォルトの計算負荷を表す定数です。この定数そのものに引数はなく、常に整数型の値（PHP 8時点では通常10）を返します。パスワードハッシュ化における「コスト」とは、ハッシュ生成にかかる処理の複雑さを数値で示し、値が大きいほど生成に時間がかかり、ブルートフォース攻撃に対する耐性が向上しますが、システムへの負荷も高まります。

サンプルコードでは、まずこの定数の現在の値を出力してその存在を確認します。次に、password_hash()関数を使ってパスワードをハッシュ化する際に、PASSWORD_BCRYPTアルゴリズムを指定しつつ、コストのオプションを省略しています。この場合、PHPは自動的にPASSWORD_BCRYPT_DEFAULT_COSTで定義されたデフォルトのコストを適用し、安全なハッシュ値を生成します。生成されたハッシュ値は、password_verify()関数を使用することで、元のパスワードと照合し、正当性を簡単に検証できます。この一連の処理は、開発者が詳細な設定を行わなくても、PHPが推奨するセキュリティレベルでパスワードを安全に扱うための基本的な方法を示しています。また、より高いセキュリティ要件やシステム性能に応じて、カスタムコストを明示的に指定することも可能です。

Copy
1<?php
2
3// リファレンス情報に基づき、PASSWORD_BCRYPT_DEFAULT_COSTを定義します。
4// PHPの一般的なpassword_hash関数におけるBCRYPTのデフォルトコストは10です。
5if (!defined('PASSWORD_BCRYPT_DEFAULT_COST')) {
6    define('PASSWORD_BCRYPT_DEFAULT_COST', 10);
7}
8
9/**
10 * PHPのpassword_hash()関数を用いてパスワードをハッシュ化し、検証する例です。
11 *
12 * PASSWORD_BCRYPT_DEFAULT_COST定数で示されるデフォルトの計算コストを使用し、
13 * パスワードのセキュアな扱い方の基本を実演します。
14 */
15function demonstrateSecurePasswordHashing(): void
16{
17    $password = 'YourSecurePassword123'; // ハッシュ化する元のパスワード
18
19    $defaultCost = PASSWORD_BCRYPT_DEFAULT_COST;
20    echo "PASSWORD_BCRYPT_DEFAULT_COST の値: " . $defaultCost . PHP_EOL;
21
22    // password_hash()関数でパスワードをハッシュ化します（BCRYPTアルゴリズムとデフォルトコストを使用）。
23    $options = ['cost' => $defaultCost];
24    $hashedPassword = password_hash($password, PASSWORD_BCRYPT, $options);
25
26    echo "元のパスワード: " . $password . PHP_EOL;
27    echo "ハッシュ化されたパスワード: " . $hashedPassword . PHP_EOL;
28
29    // password_verify()関数でハッシュを検証します。
30    if (password_verify($password, $hashedPassword)) {
31        echo "パスワード検証: 成功" . PHP_EOL;
32    } else {
33        echo "パスワード検証: 失敗" . PHP_EOL;
34    }
35}
36
37demonstrateSecurePasswordHashing();

このコードは、PHPでパスワードを安全にハッシュ化し、その後に検証する方法を示しています。PASSWORD_BCRYPT_DEFAULT_COSTはPHPに組み込まれている定数で、パスワードをハッシュ化する際に使用されるBCRYPTアルゴリズムの計算コストのデフォルト値を表します。この定数は引数を取らず、戻り値は整数型（int）で、数値が高いほどハッシュ化にかかる計算量が増え、セキュリティ強度が高まりますが、処理時間も長くなります。

サンプルコードでは、まずPASSWORD_BCRYPT_DEFAULT_COSTの値を確認しています。次に、password_hash()関数を用いて、指定されたパスワードをBCRYPTアルゴリズムとデフォルトのコストでハッシュ化しています。この関数は引数として元のパスワード、ハッシュアルゴリズム（ここではPASSWORD_BCRYPT）、そしてオプション（コスト値など）を受け取り、ハッシュ化された文字列を返します。

最後に、password_verify()関数で、元のパスワードとハッシュ化されたパスワードが一致するかを検証しています。この関数は元のパスワードとハッシュ化された文字列を引数に取り、一致すればtrue、しなければfalseを返します。これにより、データベースなどに保存されたハッシュ値と、ユーザーが入力したパスワードが正しいかを安全に確認できる仕組みが実演されています。