今からスタート! PHP

第8回　ユーザ名とパスワードを入力させる

2008年2月22日

沖林正紀

PHP, BASIC認証, パスワード

メッセージ, プログラミング, アクセス, BASIC, パスワード

BASIC認証とは?

あなたは，Webページにアクセスしようとしたとき，図1のような入力画面が表示された経験はないでしょうか。

図1　閲覧する前にユーザ名／パスワードを入力

これは上の入力欄にユーザ名を，下の入力欄にパスワードを入力して「OK」をクリックしたあと，Webページ側がデータと照合して正しいと判断されれば，Webページを閲覧できるというものです。これを実現するしくみをBASIC（ベーシック）認証といいます。BASIC認証の仕様はRFC2617で決められています。

最近はセキュリティの関係で，ログイン時にユーザ名／パスワードを入力するページを用意している例が多くなり，BASIC認証のみでログインするページをあまり見かけなくなりましたが，そのしくみを知っておくと，PHPプログラミングに役立ちます。

HTTPヘッダの設定

どんなことに役立つかというと，それはHTTPヘッダの設定です。HTTPヘッダとは，WebサーバとWebブラウザとの間で交わされる会話の内容で，通信の方法を決めたり，通信後の状態を知るときなどに使われています。

これらは通常，両者の間で自動的に送受信されているため，一般的なWebアクセスを行っているだけでは，ユーザがその存在を知ることはあまりありません。ですが，たまに「404 Not Found」「403 Forbidden」などと表示されるものが，実はHTTPヘッダの一部なのです。

PHPプログラミングを行ううえで知っておきたいのは，とくにWebブラウザに向けて発信するHTTPヘッダの内容です。今回は，そのうちのいくつかを紹介します。

ユーザ名／パスワードは入力されたか

BASIC認証が必要であることを伝える前に，アクセスしてきたユーザはすでにWebブラウザでユーザ名／パスワードの入力を済ませたのかどうかを知っておく必要があります。なぜなら，もしそれらを入力済みであれば，内容が正しいものかを判定する処理に移らなくてはならないからです。

これは $_SERVER[ 'PHP_AUTH_USER' ] という変数が設定されているかどうかで判断します。つまりisset( $_SERVER[ 'PHP_AUTH_USER' ] )です。

BASIC認証をさせる

もしユーザがまだユーザ名／パスワードの入力を済ませていないのであれば，このページはBASIC認証が必要であることをWebブラウザに伝えます。それには，2つのHTTPヘッダを設定します。header()はいずれもHTMLタグより先に記述しておかなくてはなりません。

header( 'WWW-Authenticate: Basic realm="....."' );
header( 'HTTP/1.0 401 Unauthorized' );

このとき，realm="......"の.....部分には，入力欄の上に表示するメッセージを記述します。日本語では文字化けする場合がありますので，メッセージは英文にしておいたほうがよいでしょう。

メッセージを"Members Only"とした場合の，Webブラウザの種類ごとの表示例を図2から図4に示します。同じメッセージを発信するにしても，このようにWebブラウザの種類によって表示される内容が異なることを知っておいてください。

図2　Internet Explorer 7の入力欄

図3　Firefox 2の入力欄

図4　Opera 9の入力欄

ユーザ名／パスワードを照合する

アクセスしたユーザがユーザ名／パスワードの入力を済ませていたら，それを照合する処理を行います。登録済みのデータをファイルやデータベースから読み込み，入力されたものと等しいかを判断すればよいので，一般的なプログラミングで可能です。

ユーザが入力したユーザ名／パスワードは，それぞれ以下の変数に保存されています。これらの変数の内容（特にパスワード）は，テスト用でない限り画面に表示すべきではないのは，いうまでもないことでしょう。

ユーザ名 : $_SERVER[ 'PHP_AUTH_USER' ]
パスワード : $_SERVER[ 'PHP_AUTH_PW' ]     // 画面に表示すべきでない

会員用のページに移動する

照合の結果，正規のユーザであると判断したあと，会員用のページに移動するという処理はよく行われます。自動的にページを移動することをリダイレクトといいます。このときは，以下のようにしてヘッダを設定します。こうすると，Webブラウザが指定されたURLに再度アクセスしなおします。その結果，WebブラウザのURL入力欄が書き換えられます。

header( 'Location: 移動先のURL' );

プログラミング例

最後に，これらの処理を行うソースコードの例をリスト1に示します。これはユーザ名／パスワードにそれぞれusername／passwordと入力されたら，同階層のmembers.phpに移動するという処理を行うものです。<html>...</html>の部分は，入力画面でキャンセルがクリックされたときに表示される内容（図5）が記述されています。

もし入力された内容が間違っていたら，「403 Forbidden」を送信し，アクセスが許されないことをWebブラウザに知らせます。このときIE7では図6のように表示されます。FirefoxやOperaでは，画面に何も表示されません。

リスト1　BASIC認証のための処理を行う例

<?php
  // BASIC認証が行われたかどうか
  if ( !isset( $_SERVER[ 'PHP_AUTH_USER' ] ) )  {

    // BASIC認証が必要(realm="..."は入力欄の上に表示させるメッセージ)
    header( 'WWW-Authenticate: Basic realm="Members Only"' );
    // ステータスコード(Webサーバのアクセス状況をWebブラウザに伝える)
    header( 'HTTP/1.0 401 Unauthorized' );

   // ここに exit; を記述して，これ以降の処理をしないこともある

  }  else  {

    // 入力されたユーザ名とパスワードが正しいかを判断する
    // ここでは文字列を直接比較しているが，実際にはデータベース
    // など多くのデータを保存できるしくみを用いることが多い
    if ( $_SERVER[ 'PHP_AUTH_USER' ] == 'username'  &&
         $_SERVER[ 'PHP_AUTH_PW' ]   == 'password' )  {

      // メンバー用のページにリダイレクト
      header( 'Location: members.php' );

    }  else  {

      // アクセスが許されないことをWebブラウザに知らせる
      header( 'HTTP/1.0 403 Forbidden' );
      // 以降の処理を行わない(画面を表示しない)
      exit;

    }
  }
?>
<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01//EN"
                      "http://www.w3.org/TR/html4/strict.dtd">
<html>
  <head>
    <title>PHPによるBASIC認証</title>
  </head>
  <body>
    <h3>PHPによるBASIC認証</h3>
    <p style="font-weight : bold; color : red;">ユーザ名とパスワードを正しく入力してください</p>
  </body>
</html>

図5　ユーザ名／パスワードか間違っていたときの画面表示

図6　IE7に対して「403 Forbidden」が送信されたときの画面表示

パスワードは保存時に暗号化

パスワードがどのように保存されているかは，セキュリティを守る上で重要です。

もしパスワードを入力されたそのままの状態で保存してしまっていると，データにアクセスする権限がある人がそれを盗み見て，あたかも正規に登録したユーザであるかのようにアクセスしてしまうというリスクがあります。

そのため，少なくともパスワードは保存する時点で暗号化し，仮に盗み見られても容易には内容を認識できないようにしておくべきでしょう。

PHP, BASIC認証, パスワード

沖林正紀（おきばやしまさのり）

SE/プログラマを経て，WebアプリケーションやXMLなどについて雑誌記事や書籍の執筆活動を始める。大手メーカで製品資料の作成や，セミナーの講師を担当したこともある。現在は，取材記事や製品レビューなどに執筆活動の幅を広げる一方，プログラミング教材の開発も手がけている。

著書

今からスタート! PHP

バックナンバー一覧

このエントリのトラックバック URI

お名前
メールアドレス
タイトル
コメント

多数の情報処理技術者試験対策書籍の発行実績を誇る技術評論社がお届けする，資格試験合格サイト「めざせ！情報処理試験パスサポ」が開設されました。

サクセスストーリーに続く，快適サーバー運用管理のヒント！: データの増大，煩雑な管理，システムダウン，セキュリティなど，迫りくる課題からシステム管理者の負担を軽くするポイントを解説します。
gihyo.jp インフラエンジニア情報局: ネットワークやITにかかわるあらゆる業種で必要とされるインフラエンジニアに向けた技術情報や心構え，その魅力について多角的に紹介。
テストエンジニアステーション: いま，ITに関わるあらゆる開発業務で注目されつつあるテスト系エンジニアをターゲットにしたコンテンツサイトを展開します。

※検索はページ右上の検索ボックスをご利用ください。

オープンソースの知的財産権/暗号輸出の違反防止ツール「Black Duck Suite」ご紹介セミナー（3/5，12）
矢野りんさんに学ぶ、“使える”デザイン基礎知識（3/6, 13）
最新ソフトウェアプロテクションの導入方法（3/8～4/16）
第16回エンバカデロ・デベロッパーキャンプバーチャルエディション（3/11，12）
Adobe FLASH PLATFORM CAMP Tokyo（3/16）
「組込みデータベースを利用した開発のポイントとDeviceSQLのご紹介」セミナー（3/17）

2010年版SEO体得講座: 本連載では，いまや企業サイトの戦略の1つとして欠かすことのできないSEOについて，最新トレンドからすぐに使えるTipsまでを紹介します。
小型Linuxサーバの最高峰 OpenBlockS 600活用指南: 搭載メモリの増加，CPUクロックの向上など，あらゆる面が強化された期待の新モデルOpenBlockS 600。この記事ではOpenBlockS 600の紹介から，活用するためのさまざまなノウハウを紹介していきます。
はじめMath! Javaでコンピュータ数学: プログラミング言語入門者向けに，知っていると役立つ数学的トピックスを紹介します。簡単な演習問題と解説で，即活用できる知識を目指します。
教科書には載っていないネットワークエンジニアの実践技術: ネットワークエンジニア，インフラエンジニアのトラブル対応には，時には「教科書通りにいかない」テクニックが必要となります。資格試験では得られないこうした実践的な技術について，実例を元に紹介します。
Googleケータイ，世に現る: 2008年9月，Googleが中心となって開発されている「Android」を採用した携帯電話「T-Mobile G1」が発表されました。本連載ではT-Mobile G1を中心にGoogleケータイに迫ります。
モバゲーオープンプラットフォームに挑戦！――面白法人カヤック流モバゲーオープンプラットフォーム企画と開発のイロハ: 2010年1月にリリースとなったモバゲーオープンプラットフォーム。その制作企業であるカヤックが，アイデアを企画に落とし込み，開発までのノウハウを紹介します。
プロトタイピングツールSketchFlowを用いた，Silverlightアプリ開発: SketchFlowプロトタイプ作成からアプリケーション開発までをExpression Blend 3を使って実践的に解説します。
Ubuntu Weekly Recipe: Ubuntuの強力なデスクトップ機能を活用するための，いろいろなレシピをお届けします。