【PHP8.x】password_algos()関数の使い方

Copy
1<?php
2
3/**
4 * PHPで利用可能なパスワードハッシュアルゴリズムと、
5 * 実際のパスワードハッシュ化・検証のデモンストレーションを行います。
6 * システムエンジニアを目指す初心者向けに、パスワード処理の基本を示します。
7 */
8function demonstratePasswordHashing()
9{
10    // 1. password_algos() を使用して、PHPで利用可能なパスワードハッシュアルゴリズムのリストを取得します。
11    //    これらのアルゴリズムは、password_hash() 関数で使用できます。
12    $availableAlgos = password_algos();
13    echo "PHPで利用可能なパスワードハッシュアルゴリズム:\n";
14    foreach ($availableAlgos as $algo) {
15        echo "- " . $algo . "\n";
16    }
17    echo "\n";
18
19    // 2. 実際にパスワードをハッシュ化する例
20    $passwordToHash = 'MySuperSecretPassword123!';
21    // PASSWORD_DEFAULT は現在推奨されているアルゴリズムを使用します。
22    // PHPのバージョンアップに伴い、より安全なアルゴリズムに変更される可能性があります。
23    $defaultAlgo = PASSWORD_DEFAULT;
24
25    echo "元のパスワード: " . $passwordToHash . "\n";
26    echo "使用するハッシュアルゴリズム: " . ($defaultAlgo === PASSWORD_DEFAULT ? 'PASSWORD_DEFAULT (推奨)' : $defaultAlgo) . "\n";
27
28    // password_hash() を使用してパスワードをハッシュ化します。
29    // ハッシュ化されたパスワードは一方向であり、元に戻すことはできません。
30    $hashedPassword = password_hash($passwordToHash, $defaultAlgo);
31
32    if ($hashedPassword === false) {
33        echo "エラー: パスワードのハッシュ化に失敗しました。\n";
34    } else {
35        echo "ハッシュ化されたパスワード: " . $hashedPassword . "\n\n";
36
37        // 3. ハッシュ化されたパスワードを検証する例
38        //    データベースなどに保存されたハッシュと、ユーザーが入力したパスワードを比較します。
39        $correctInputPassword = 'MySuperSecretPassword123!'; // 正しい入力パスワード
40        $wrongInputPassword   = 'WrongPassword456';        // 間違った入力パスワード
41
42        echo "ユーザー入力パスワード ('" . $correctInputPassword . "') とハッシュの検証:\n";
43        // password_verify() を使用して、入力されたパスワードがハッシュと一致するか検証します。
44        // これにより、元のパスワードを知ることなく、ユーザー認証を行うことができます。
45        if (password_verify($correctInputPassword, $hashedPassword)) {
46            echo " - 検証成功: パスワードは一致します。\n";
47        } else {
48            echo " - 検証失敗: パスワードは一致しません。\n";
49        }
50
51        echo "ユーザー入力パスワード ('" . $wrongInputPassword . "') とハッシュの検証:\n";
52        if (password_verify($wrongInputPassword, $hashedPassword)) {
53            echo " - 検証成功: パスワードは一致します。\n";
54        } else {
55            echo " - 検証失敗: パスワードは一致しません。\n";
56        }
57    }
58}
59
60// デモンストレーション関数を実行します。
61demonstratePasswordHashing();
62
63?>

このサンプルコードは、PHPにおけるパスワードの安全なハッシュ化と検証のプロセスを、システムエンジニアを目指す初心者向けに解説しています。まず、password_algos()関数について説明します。この関数は引数を取らずに呼び出すことで、PHP 8で現在利用可能な全てのパスワードハッシュアルゴリズムの名称を文字列の配列として返します。これにより、開発者はシステムで利用可能なセキュリティアルゴリズムを把握することができます。

次に、実際のパスワードハッシュ化の例として、password_hash()関数と推奨されるPASSWORD_DEFAULTアルゴリズムの使用法を示します。パスワードは一方向のハッシュ値に変換され、これにより元のパスワードが特定されることなく安全に保存できるようになります。このハッシュ値は、データベースなどに保存されるべきデータです。

最後に、ユーザー認証の際に用いられるpassword_verify()関数によるパスワード検証の手順を解説します。この関数は、ユーザーが入力したパスワードと保存されているハッシュ値を比較し、両者が一致するかどうかを判定します。これにより、元のパスワードを知ることなく、システムは安全にユーザーの本人確認を行うことができます。この一連の処理は、ウェブアプリケーションなどにおけるパスワードセキュリティの基盤となります。

Copy
1<?php
2
3// password_algos関数は、password_hash関数で利用可能なアルゴリズムのリストを返します。
4$availableAlgos = password_algos();
5
6echo "利用可能なパスワードハッシュアルゴリズム:\n";
7foreach ($availableAlgos as $algo) {
8    echo "- " . $algo . "\n";
9}
10
11// サンプルパスワードを定義します。
12$password = 'mySecureP@ssw0rd123!';
13
14// PHP推奨のデフォルトアルゴリズム (現在のPHPバージョンで最適なものが選ばれます) でパスワードをハッシュ化します。
15$hashedPasswordDefault = password_hash($password, PASSWORD_DEFAULT);
16
17echo "\n元のパスワード: " . $password . "\n";
18echo "ハッシュ化されたパスワード (PASSWORD_DEFAULT): " . $hashedPasswordDefault . "\n";
19
20// ハッシュ化されたパスワードと元のパスワードが一致するか検証します。
21if (password_verify($password, $hashedPasswordDefault)) {
22    echo "デフォルトアルゴリズムでハッシュ化されたパスワードは検証されました。\n";
23} else {
24    echo "デフォルトアルゴリズムでハッシュ化されたパスワードは検証されませんでした。\n";
25}
26
27// 明示的にBCRYPTアルゴリズムを指定してパスワードをハッシュ化する例です。
28// (PHP 8ではPASSWORD_DEFAULTがBCRYPTであるため、結果は通常似ています)
29$hashedPasswordBcrypt = password_hash($password, PASSWORD_BCRYPT);
30
31echo "\nハッシュ化されたパスワード (PASSWORD_BCRYPT): " . $hashedPasswordBcrypt . "\n";
32
33// BCRYPTでハッシュ化されたパスワードを検証します。
34if (password_verify($password, $hashedPasswordBcrypt)) {
35    echo "BCRYPTアルゴリズムでハッシュ化されたパスワードは検証されました。\n";
36} else {
37    echo "BCRYPTアルゴリズムでハッシュ化されたパスワードは検証されませんでした。\n";
38}

このサンプルコードは、PHPでパスワードを安全に扱うための機能を紹介しています。password_algos関数は、password_hash関数で利用可能なパスワードハッシュアルゴリズムのリストを配列（array）として返します。この関数は引数をとりません。コードではまず、この関数を使って現在利用可能なアルゴリズム一覧を表示しています。

次に、定義したパスワードをpassword_hash関数でハッシュ化します。PASSWORD_DEFAULTは、PHPが推奨する最新かつ最適なアルゴリズムを自動的に選択するため、特別な理由がない限りこれを使用することが推奨されます。ハッシュ化されたパスワードからは、元のパスワードを復元することはできません。

その後、password_verify関数を使用して、入力されたパスワードとハッシュ化されたパスワードが一致するかどうかを安全に検証します。この関数は、ハッシュアルゴリズムや内部に含まれるソルト（ランダムな文字列）を考慮して検証を行います。サンプルでは、PASSWORD_DEFAULTでのハッシュ化と検証に加え、PASSWORD_BCRYPTを明示的に指定した場合の例も示しており、PHP 8では通常PASSWORD_DEFAULTがBCRYPTアルゴリズムを選択することを示唆しています。