Laravel ユーザなら知っておくべきAuthオートログイン

Deprecated: The each() function is deprecated. This message will be suppressed on further calls in /home/zhenxiangba/zhenxiangba.com/public_html/phproxy-improved-master/index.php on line 456
Laravel ユーザなら知っておくべきAuthオートログイン

Ad

Ad

Ad

Ad

Ad

Ad

Ad

Ad

Ad

Ad

Ad

Ad

2014/04/05 shin1x1
Laravel Meetup Tokyo Vol.3
知っておくべき
Authオートログイン

(c) 2014 Masashi Shinbara @shin1x1
最近、開発している構成

(c) 2014 Masashi Shinbara @shin1x1
Authによる
ログイン

(c) 2014 Masashi Shinbara @shin1x1
サンプル
• email と pass でログイン
• remember me にチェックを付けると 
オートログインが有効に

(c) 2014 Masashi Shinbara @shin1x1
サンプル
• users テーブルに 10 人登録済

実装
(c) 2014 Masashi Shinbara @shin1x1
• ログイン
!
Route::post('/login', function() {!
$remember = (bool)Input::get('remember'...

実装
(c) 2014 Masashi Shinbara @shin1x1
• 認証
!
Route::group(['before' => 'auth'], function() {!
Route::get('/', function () ...

(c) 2014 Masashi Shinbara @shin1x1
•ログインする
ログイン

ログイン結果
(c) 2014 Masashi Shinbara @shin1x1
•ログインユーザを表示
•セッションクッキーを発行

(c) 2014 Masashi Shinbara @shin1x1
Authによる
オートログイン

(c) 2014 Masashi Shinbara @shin1x1
•ログイン（オートログイン有効）
ログイン

ログイン結果
(c) 2014 Masashi Shinbara @shin1x1
•ログインユーザを表示
•セッションクッキーと 
オートログインクッキーを発行

オートログイン
(c) 2014 Masashi Shinbara @shin1x1
•ログインセッション削除
•リロードするとオートログイン

(c) 2014 Masashi Shinbara @shin1x1
どうやって
認証してるの？

オートログインクッキー
(c) 2014 Masashi Shinbara @shin1x1
•Laravel ではクッキーの値を自動で暗号化
•オートログインクッキーの値を複合
$ php decrypt.php COOKIE_VALUE!
...

実装を確認
(c) 2014 Masashi Shinbara @shin1x1
• オートログインの処理
• $id = 複合されたオートログインクッキーの値
• この処理は、Authフィルタを使っていれば、 
オートログインクッキーがあり、...

実装を確認
(c) 2014 Masashi Shinbara @shin1x1
•$identiﬁer = オートログインクッキーの値
•オートログインクッキーの値を identiﬁer として、 
ユーザを取得
public functio...

検証（悪用厳禁）
(c) 2014 Masashi Shinbara @shin1x1
• 偽装クッキーでアクセスすると。。。
• 手順割愛
！！！！

いったん整理
(c) 2014 Masashi Shinbara @shin1x1
• Auth フィルタにはオートログイン機能がある
• オートログインは、暗号化したクッキーで認証
• 偽装したクッキーでもオートログインできる
• アプリケー...

(c) 2014 Masashi Shinbara @shin1x1
どうすれば良いか？

1. 暗号鍵を漏洩させない
(c) 2014 Masashi Shinbara @shin1x1
• app/conﬁg/app.php の key
• 暗号鍵が分かると簡単に偽装クッキーができる
• 開発環境と本番環境でキーを変える
• OS...

(c) 2014 Masashi Shinbara @shin1x1
• artisan で暗号鍵を再生成
!
$ php artisan key:generate!
!
// environment を指定!
$ php artisan ke...

(c) 2014 Masashi Shinbara @shin1x1
• environment によって変える
!
app/config/local/app.php <—— 開発環境用!
production/app.php <—— 本番環境...

(c) 2014 Masashi Shinbara @shin1x1
2. オートログインを変える
• カスタムドライバを実装
• app/conﬁg/auth.php を設定
• Auth::extend()で指定
• 実装例
http://...

(c) 2014 Masashi Shinbara @shin1x1
まとめ
• オートログインはクッキーのみで実現
• key が重要なものであることを認識
• カスタムドライバでの対応がおすすめ

@shin1x1
(c) 2014 Masashi Shinbara @shin1x1