【第四弾】Laravel入門資料

スクラッチで認証機能を実装する

ライブラリに頼らず、自分の手で認証機能を作ります。
セッション、Cookie、ハッシュ化など、認証の仕組みを深く理解しましょう。

認証の仕組み - セッションとは

Webアプリケーションの認証は、セッションを使って実現されます。

HTTPはステートレス

セッションで状態を保持する

1. ログイン成功
   ├─ サーバーがセッションIDを発行（例: abc123）
   ├─ セッションIDをCookieに保存
   └─ サーバー側でセッションデータを保存（ユーザーID、名前など）

2. 次回のリクエスト
   ├─ ブラウザが自動的にCookieを送信（abc123）
   ├─ サーバーがセッションIDからユーザー情報を取得
   └─ 「あなたは田中さんですね！」と識別できる

ユーザー登録機能を作る

まずは、ユーザーがアカウントを作成できる機能を実装します。

ステップ1: usersテーブルのマイグレーション

Laravelの新規プロジェクトには、すでにusersテーブルのマイグレーションが含まれています。

# マイグレーション実行
php artisan migrate

生成されるテーブル構造：

// database/migrations/xxxx_create_users_table.php
public function up(): void
{
    Schema::create('users', function (Blueprint $table) {
        $table->id();
        $table->string('name');
        $table->string('email')->unique();
        $table->timestamp('email_verified_at')->nullable();
        $table->string('password');
        $table->rememberToken();
        $table->timestamps();
    });
}

ステップ2: Userモデルの確認

Userモデルもすでに用意されています。

// app/Models/User.php
namespace App\Models;

use Illuminate\Foundation\Auth\User as Authenticatable;

class User extends Authenticatable
{
    protected $fillable = [
        'name',
        'email',
        'password',
    ];

    protected $hidden = [
        'password',
        'remember_token',
    ];

    protected $casts = [
        'email_verified_at' => 'datetime',
        'password' => 'hashed', // Laravel 10以降、自動的にハッシュ化
    ];
}

$hidden の役割 - JSONレスポンスでパスワードを隠す

$hidden は、モデルをJSONや配列に変換する際に、特定の属性を隠すための設定です。

protected $hidden = [
    'password',
    'remember_token',
];

$hidden がない場合:

// コントローラーでユーザー情報をJSON化
$user = User::find(1);
return response()->json($user);

// ❌ レスポンス（パスワードのハッシュが含まれる）
{
    "id": 1,
    "name": "田中太郎",
    "email": "tanaka@example.com",
    "password": "$2y$10$abc123def456...",  // ← 流出してしまう！
    "created_at": "2025-01-01 00:00:00"
}

$hidden がある場合:

// 同じコード
$user = User::find(1);
return response()->json($user);

// ✅ レスポンス（パスワードが自動的に除外される）
{
    "id": 1,
    "name": "田中太郎",
    "email": "tanaka@example.com",
    "created_at": "2025-01-01 00:00:00"
}

$casts の役割 - 自動型変換とハッシュ化

$casts は、データベースから取得した値や保存する値を自動的に変換する設定です。

// cast なし
$user->is_admin;           // "1" (文字列)
$user->price;              // "1000" (文字列)
$user->email_verified_at;  // "2024-01-01 12:34:56" (文字列)

// 毎回変換が必要
if ($user->is_admin === '1') { }  // ❌ めんどくさい
$price = (int)$user->price;       // ❌ めんどくさい

// cast あり
if ($user->is_admin) { }  // ✅ 自動でboolean
$price = $user->price;    // ✅ 自動でinteger

protected $casts = [
    'email_verified_at' => 'datetime',
    'password' => 'hashed',  // Laravel 10以降
];

1. 'datetime' キャストの動き

// データベースには文字列で保存されている
// email_verified_at: "2025-01-01 12:00:00"

$user = User::find(1);

// ✅ 自動的にCarbonオブジェクトに変換される
$user->email_verified_at->format('Y年m月d日');
// => "2025年01月01日"

$user->email_verified_at->addDays(7);
// => 7日後の日時を計算できる

// Carbon でできること
$date->format('Y年m月d日');    // フォーマット変換
$date->addDays(7);             // 日付計算
$date->diffForHumans();        // "3日前" のような相対表現
$date->isWeekend();            // 週末判定

2. 'hashed' キャストの動き（Laravel 10以降）

'password' => 'hashed' を設定すると、保存時に自動的にハッシュ化されます。

Laravel 9以前（'hashed' キャストがない場合）:

// ❌ 手動でHash::make()を書く必要がある
$user = User::create([
    'name' => '田中太郎',
    'email' => 'tanaka@example.com',
    'password' => Hash::make('password123'),  // 手動でハッシュ化
]);

Laravel 10以降（'hashed' キャストがある場合）:

// ✅ 自動的にハッシュ化される
$user = User::create([
    'name' => '田中太郎',
    'email' => 'tanaka@example.com',
    'password' => 'password123',  // 平文のまま渡してOK
]);

// 保存時に自動的に Hash::make('password123') が実行される
// データベースには $2y$10$abc... のようなハッシュ値が保存される

3. 実践: 'hashed' キャストの動作確認

# Tinkerを起動
php artisan tinker

// ユーザーを作成（平文パスワードを渡す）
$user = User::create([
    'name' => 'テストユーザー',
    'email' => 'test@example.com',
    'password' => 'password123',  // 平文
]);

// データベースに保存されているパスワードを確認
// （通常は$hiddenで隠されるが、getAttributesで生の値を取得できる）
$user->getAttributes()['password'];
// => "$2y$10$abc123def456..."  ← 自動的にハッシュ化されている！

// ログインできるか確認
Hash::check('password123', $user->password);
// => true  ✅ ハッシュ化されたパスワードと照合できる

// パスワード更新も自動ハッシュ化
$user->update(['password' => 'newpassword']);
$user->getAttributes()['password'];
// => "$2y$10$xyz789..."  ← 新しいハッシュ値

ユーザー登録のコントローラーとルート・Facadeの解説

登録フォームを表示し、ユーザー情報を保存するコントローラーを作成します。

ステップ3: コントローラー作成

php artisan make:controller Auth/RegisterController

// app/Http/Controllers/Auth/RegisterController.php
namespace App\Http\Controllers\Auth;

use App\Http\Controllers\Controller;
use App\Models\User;
use Illuminate\Http\Request;
use Illuminate\Support\Facades\Auth;
use Illuminate\Support\Facades\Hash;

class RegisterController extends Controller
{
    // 登録フォーム表示
    public function showRegistrationForm()
    {
        return view('auth.register');
    }

    // ユーザー登録処理
    public function register(Request $request)
    {
        // バリデーション
        $validated = $request->validate([
            'name' => 'required|string|max:255',
            'email' => 'required|string|email|max:255|unique:users',
            'password' => 'required|string|min:8|confirmed',
        ]);

        // ユーザー作成
        $user = User::create([
            'name' => $validated['name'],
            'email' => $validated['email'],
            'password' => $validated['password'], // castで自動ハッシュ化
        ]);

        // 自動ログイン
        Auth::login($user);

        // ダッシュボードへリダイレクト
        return redirect('/dashboard');
    }
}

// Facade を使う（シンプル）
use Illuminate\Support\Facades\Auth;
Auth::login($user);

// Facade を使わない場合（複雑）
use Illuminate\Auth\AuthManager;
$auth = app(AuthManager::class);
$auth->guard()->login($user);

use Illuminate\Support\Facades\Auth;
use Illuminate\Support\Facades\Hash;

// Auth Facade
Auth::login($user);
Auth::logout();
Auth::check();
Auth::user();

// Hash Facade
Hash::make('password');
Hash::check('password', $hash);

// ヘルパー関数（use不要、どこでも使える）
auth()->login($user);
auth()->check();
auth()->user();

// Facade（useが必要、静的メソッド）
use Illuminate\Support\Facades\Auth;
Auth::login($user);
Auth::check();
Auth::user();

// どちらも内部的には同じ処理

php artisan tinker

// Facade を使う
use Illuminate\Support\Facades\Auth;
use Illuminate\Support\Facades\Hash;
use Illuminate\Support\Facades\DB;
use Illuminate\Support\Facades\Log;

// まずテストユーザーを作成
$user = User::create([
    'name' => 'テストユーザー',
    'email' => 'test@example.com',
    'password' => 'password123',  // castで自動ハッシュ化
]);

// Auth Facade
Auth::login($user);
Auth::check();  // => true
Auth::user()->name;  // => "テストユーザー"
Auth::logout();
Auth::check();  // => false

// Hash Facade
$hashed = Hash::make('password');
Hash::check('password', $hashed);  // => true

// DB Facade
DB::table('users')->count();  // => 1
DB::table('users')->where('id', 1)->first();

// Log Facade
Log::info('テスト実行');
Log::warning('警告メッセージ');
Log::error('エラー発生');
// storage/logs/laravel.log に出力される

// ログイン前のセッション
[
    "_token" => "abc123...",  // CSRFトークン
]

// Auth::login($user) 実行後
[
    "_token" => "abc123...",
    "login_web_xxxxx" => 1,   // ← ユーザーIDが追加される
]

// auth()->user() を呼ぶと
1. セッションからユーザーIDを取得（例: 1）
2. SELECT * FROM users WHERE id = 1 を実行
3. User オブジェクトを返す

// つまり、auth()->user() を呼ぶたびにDBクエリが発生
// （ただし1リクエスト内ではキャッシュされる）

// Auth - 認証
Auth::login($user);
Auth::logout();
Auth::check();
Auth::user();

// Hash - ハッシュ化
Hash::make('password');
Hash::check('password', $hash);

// DB - データベース操作
DB::table('users')->get();
DB::table('users')->where('id', 1)->first();
DB::insert('insert into users (name) values (?)', ['太郎']);

// Storage - ファイル操作
Storage::exists('file.txt');
Storage::delete('file.txt');
Storage::download('file.pdf');

// Log - ログ出力
Log::info('情報ログ');
Log::warning('警告ログ');
Log::error('エラーログ');

// Mail - メール送信
Mail::to('user@example.com')->send(new WelcomeMail());

// Session - セッション
Session::put('key', 'value');
Session::get('key');
Session::forget('key');
Session::flash('message', '保存しました');

// Cookie - クッキー
Cookie::queue('name', 'value', 60);
Cookie::get('name');

// Config - 設定値取得
Config::get('app.name');
Config::set('app.debug', false);

// View - ビュー
View::make('welcome');
View::exists('auth.login');

// Redirect - リダイレクト
Redirect::to('/home');
Redirect::route('dashboard');
Redirect::back();

// Validator - バリデーション
Validator::make($data, $rules);
Validator::make($data, ['email' => 'required|email']);

ルートとviewの作成とヘルパー関数の解説

ステップ4: 登録フォームのビュー作成

{{-- resources/views/auth/register.blade.php --}}
<!DOCTYPE html>
<html lang="ja">
<head>
    <meta charset="UTF-8">
    <meta name="viewport" content="width=device-width, initial-scale=1.0">
    <title>ユーザー登録</title>
</head>
<body>
    <h1>ユーザー登録</h1>

    @if ($errors->any())
        <div style="color: red;">
            <ul>
                @foreach ($errors->all() as $error)
                    <li>{{ $error }}</li>
                @endforeach
            </ul>
        </div>
    @endif

    <form method="POST" action="/register">
        @csrf

        <label>名前</label>
        <input type="text" name="name" value="{{ old('name') }}" required>

        <label>メールアドレス</label>
        <input type="email" name="email" value="{{ old('email') }}" required>

        <label>パスワード</label>
        <input type="password" name="password" required>

        <label>パスワード確認</label>
        <input type="password" name="password_confirmation" required>

        <button type="submit">登録</button>
    </form>

    <p>すでにアカウントをお持ちですか？ <a href="/login">ログイン</a></p>
</body>
</html>

ステップ5: ダッシュボードのビュー作成

{{-- resources/views/dashboard.blade.php --}}
<!DOCTYPE html>
<html lang="ja">
<head>
    <meta charset="UTF-8">
    <meta name="viewport" content="width=device-width, initial-scale=1.0">
    <title>ダッシュボード</title>
</head>
<body>
    <h1>ダッシュボード</h1>

    @auth
        <p>ようこそ、{{ auth()->user()->name }}さん！</p>
        <p>メールアドレス: {{ auth()->user()->email }}</p>

        <form action="{{ route('logout') }}" method="POST" style="margin-top: 20px;">
            @csrf
            <button type="submit">ログアウト</button>
        </form>
    @endauth
</body>
</html>

@auth
    <p>ログイン中の表示</p>
@endauth

@guest
    <p>ログアウト中の表示</p>
@endguest

<p>{{ auth()->user()->name }}</p>
<p>{{ auth()->user()->email }}</p>

// ログイン処理で使用
auth()->login($user);

// ダッシュボードで使用
auth()->user()->name

// コントローラーで使用
return view('auth.register');

// 登録後のリダイレクト
return redirect()->route('dashboard');

// バリデーションエラー時に前回の入力値を復元
<input type="email" name="email" value="{{ old('email') }}">

// 名前付きルートのURL生成
<a href="{{ route('dashboard') }}">ダッシュボード</a>

// パラメータ付き
route('products.show', ['id' => 1])  // "/products/1"

// デバッグ用：変数の中身を見て処理を止める
dd($user);

// セッションに保存
session(['cart' => $items]);

// セッションから取得
$cart = session('cart');

// フラッシュメッセージ（1回だけ表示）
session()->flash('success', '登録しました');

// 設定値取得
config('app.name');      // "Laravel"
config('app.timezone');  // "Asia/Tokyo"

// .envから環境変数取得
env('APP_ENV');      // "local"
env('DB_DATABASE'); // "laravel"

// 現在日時（Carbon）
now();                          // 2025-01-15 10:30:00
now()->format('Y年m月d日');      // "2025年01月15日"

// 今日の日付（Carbon）
today();                        // 2025-01-15 00:00:00

// パスワードをハッシュ化（Hash::make()と同じ）
bcrypt('password123');

ステップ6: ルート設定（まとめて）

// routes/web.php
use App\Http\Controllers\Auth\RegisterController;

// 登録フォーム表示
Route::get('/register', [RegisterController::class, 'showRegistrationForm'])
    ->name('register');

// 登録処理
Route::post('/register', [RegisterController::class, 'register']);

// ダッシュボード（ログイン必須）
Route::get('/dashboard', function () {
    return view('dashboard');
})->middleware('auth')->name('dashboard');

// ログアウト
Route::post('/logout', function (Request $request) {
    Auth::logout();
    $request->session()->invalidate();
    $request->session()->regenerateToken();
    return redirect('/');
})->name('logout');

// DBの sessionsテーブルのpayloadカラム内のデータ

// ログアウト前のpayload
{
  "_token": "abc123...",
  "login_web_59ba36addc2b2f9401580f014c7f58ea4e30989d": 1,  ← これが消える
  "_previous": {...},
  "_flash": {...}
}

// Auth::logout() 実行後のpayload
{
  "_token": "abc123...",
  "_previous": {...},
  "_flash": {...}
}
// login_web_* が削除され、auth()->check() が false になる

// ① DBのsessionsテーブル
DELETE FROM sessions WHERE id = 'old_session_id_abc123';

// ② 新しいセッションID生成
新しいセッションID: xyz789

// ③ クッキーに新しいセッションIDをセット
Set-Cookie: laravel_session=xyz789; HttpOnly; SameSite=Lax

// 攻撃シナリオ（invalidate()しない場合）
1. 攻撃者が古いセッションID（abc123）を盗む
2. ユーザーがログアウト（Auth::logout()のみ）
   → DBのpayloadから login_web_* は消える
   → でもセッションID（abc123）は有効なまま
3. 攻撃者が盗んだセッションID（abc123）で再ログイン
4. セッションID（abc123）が再利用される → 危険

// invalidate()すると
1. ログアウト時にセッションID（abc123）を無効化
   → DBから削除され、新しいID（xyz789）を発行
2. 古いセッションID（abc123）は使えない → 安全

// DBの sessionsテーブルのpayloadカラム

// ログアウト前のpayload
{
  "_token": "abc123...",  ← これが変わる
  "_previous": {...}
}

// regenerateToken() 実行後のpayload
{
  "_token": "xyz789...",  ← 新しいトークン
  "_previous": {...}
}

// 古いトークン（abc123）でPOSTリクエストすると419エラーになる

// シナリオ
1. ユーザーがログアウト前にフォームを開いている
   → フォーム内の @csrf に古いトークン（abc123）が埋め込まれている
2. ログアウト後、そのフォームを送信
   → 古いトークン（abc123）で送信される
3. regenerateToken()していれば、419エラーで弾かれる → 安全

ログイン機能を作る

登録したユーザーでログインできるようにします。

ステップ1: LoginController作成

php artisan make:controller Auth/LoginController

// app/Http/Controllers/Auth/LoginController.php
namespace App\Http\Controllers\Auth;

use App\Http\Controllers\Controller;
use Illuminate\Http\Request;
use Illuminate\Support\Facades\Auth;

class LoginController extends Controller
{
    // ログインフォーム表示
    public function showLoginForm()
    {
        return view('auth.login');
    }

    // ログイン処理
    public function login(Request $request)
    {
        // バリデーション
        $credentials = $request->validate([
            'email' => 'required|email',
            'password' => 'required',
        ]);

        // 認証試行
        if (Auth::attempt($credentials)) {
            // セッション固定攻撃を防ぐ
            $request->session()->regenerate();

            // ログイン前にアクセスしようとしていたページへリダイレクト
            // なければダッシュボードへ
            return redirect()->intended(route('dashboard'));
        }

        // 認証失敗
        // onlyInput('email'): パスワードは復元しない（セキュリティのため）
        return back()->withErrors([
            'email' => 'メールアドレスまたはパスワードが正しくありません。',
        ])->onlyInput('email');
    }
}

// シナリオ
1. 未ログインで /products/123 にアクセス
2. authミドルウェアが /login にリダイレクト
   （このとき、元のURL /products/123 をセッションに保存）
3. ログイン成功
4. intended() が保存されたURL /products/123 に戻す

// 元のURLがない場合（直接 /login にアクセスした場合）
→ 引数のデフォルトURL（route('dashboard')）にリダイレクト

ステップ2: ルート設定

// routes/web.php
use App\Http\Controllers\Auth\LoginController;

// ログインフォーム表示
Route::get('/login', [LoginController::class, 'showLoginForm'])
    ->name('login');

// ログイン処理
Route::post('/login', [LoginController::class, 'login']);

ステップ3: ログインビュー作成

{{-- resources/views/auth/login.blade.php --}}
<!DOCTYPE html>
<html lang="ja">
<head>
    <meta charset="UTF-8">
    <meta name="viewport" content="width=device-width, initial-scale=1.0">
    <title>ログイン</title>
</head>
<body>
    <h1>ログイン</h1>

    @if ($errors->any())
        <div style="color: red;">
            <ul>
                @foreach ($errors->all() as $error)
                    <li>{{ $error }}</li>
                @endforeach
            </ul>
        </div>
    @endif

    <form method="POST" action="/login">
        @csrf

        <label>メールアドレス</label>
        <input type="email" name="email" value="{{ old('email') }}" required>

        <label>パスワード</label>
        <input type="password" name="password" required>

        <button type="submit">ログイン</button>
    </form>

    <p>アカウントをお持ちでないですか？ <a href="/register">新規登録</a></p>
</body>
</html>

✅ ログイン機能が完成しました！

ログイン状態の確認

認証状態を確認する方法

Laravelでは、ユーザーがログインしているかどうかを簡単に確認できます。

1. コントローラーやルートで確認

if (auth()->check()) {
    // ログイン中の処理
    echo 'ログインしています';
} else {
    // ログアウト中の処理
    echo 'ログインしていません';
}

$user = auth()->user();

if ($user) {
    // ログイン中
    echo 'こんにちは、' . $user->name . 'さん！';
    echo 'あなたのメールアドレスは ' . $user->email . ' です。';
} else {
    // ログアウト中
    echo 'ログインしてください';
}

$userId = auth()->id();

if ($userId) {
    echo 'あなたのユーザーIDは ' . $userId . ' です';
} else {
    echo 'ログインしていません';
}

2. Bladeテンプレートで確認

Bladeテンプレートでは、@auth と @guest ディレクティブを使って簡単に分岐できます。

<!-- ログイン中のみ表示 -->
@auth
    <p>こんにちは、{{ auth()->user()->name }}さん！</p>
    <form action="{{ route('logout') }}" method="POST">
        @csrf
        <button type="submit">ログアウト</button>
    </form>
@endauth

<!-- ログアウト中のみ表示 -->
@guest
    <p>ようこそ、ゲストさん！</p>
    <a href="{{ route('login') }}">ログイン</a>
    <a href="{{ route('register') }}">新規登録</a>
@endguest

<!-- どちらも表示する場合は @auth と @else -->
@auth
    <p>ログイン中: {{ auth()->user()->name }}</p>
@else
    <p>ログインしていません</p>
@endauth

<!-- ログイン中だけ表示する場合は @auth -->
@auth
    <p>ダッシュボードへようこそ！</p>
@endauth

<!-- ログアウト中だけ表示する場合は @guest -->
@guest
    <p>ログインしてください</p>
@endguest

3. ミドルウェアで認証を必須にする

ログインしていないとアクセスできないページを作る場合は、auth ミドルウェアを使います。

// routes/web.php

// ダッシュボード（ログイン必須）
Route::get('/dashboard', function () {
    return view('dashboard');
})->middleware('auth');

// プロフィール編集（ログイン必須）
Route::get('/profile/edit', [ProfileController::class, 'edit'])
    ->middleware('auth');

// 複数のルートにまとめて適用
Route::middleware(['auth'])->group(function () {
    Route::get('/dashboard', [DashboardController::class, 'index']);
    Route::get('/profile', [ProfileController::class, 'show']);
    Route::get('/settings', [SettingsController::class, 'index']);
});

Tinkerで認証状態を確認してみよう

# Tinkerを起動
php artisan tinker

// ユーザーを取得
$user = User::first();

// ログインさせる
Auth::login($user);

// ログイン状態を確認
auth()->check();
// => true

auth()->user();
// => App\Models\User {id: 1, name: "田中太郎", ...}

auth()->id();
// => 1

// ログアウト
Auth::logout();

auth()->check();
// => false

auth()->user();
// => null

✅ これで、ログイン状態によって表示内容を切り替えることができます！

セキュリティ考慮事項

認証機能を実装する際には、セキュリティリスクに注意する必要があります。

1. パスワードのハッシュ化

// パスワードを平文で保存（絶対ダメ！）
User::create([
    'password' => $request->password, // ❌ 平文保存
]);

// パスワードをハッシュ化して保存
User::create([
    'password' => Hash::make($request->password), // ✅ ハッシュ化
]);

// Laravel 10以降なら自動でハッシュ化されるので、これでもOK
User::create([
    'password' => $request->password, // ✅ 自動ハッシュ化
]);

2. CSRF保護

<form action="{{ route('login') }}" method="POST">
    @csrf  <!-- ✅ CSRFトークンを自動生成 -->
    <input type="email" name="email">
    <input type="password" name="password">
    <button type="submit">ログイン</button>
</form>

3. セッション固定攻撃の防止

// 攻撃の流れ（regenerate()しない場合）

1. 攻撃者が自分のブラウザでアプリにアクセス
   → セッションID: abc123 が発行される

2. 攻撃者が被害者に罠リンクを送る
   https://example.com/login?session_id=abc123
   または
   <script>document.cookie="laravel_session=abc123"</script>

3. 被害者がリンクをクリック
   → セッションID: abc123 が被害者のブラウザにセットされる

4. 被害者がログイン成功
   → でもセッションID: abc123 のまま（regenerateしてないから）

5. 攻撃者が自分のブラウザでアクセス
   → セッションID: abc123 で被害者のアカウントにログイン状態
   → 被害者のアカウントを完全に乗っ取り成功 🔥

// LoginController.php
if (Auth::attempt($credentials)) {
    // ✅ セッションIDを再生成して、古いセッションIDを無効化
    $request->session()->regenerate();
    return redirect('/dashboard');
}

// regenerate() すると

1. 攻撃者が被害者に罠リンクを送る
   → セッションID: abc123 がセットされる

2. 被害者がログイン成功
   → regenerate() が実行される
   → 古いセッションID（abc123）は削除される
   → 新しいセッションID（xyz789）が発行される

3. 攻撃者が自分のブラウザでアクセス
   → セッションID: abc123 で試みる
   → でもabc123は既に無効化されている
   → ログインできない ✅ 攻撃失敗

4. SQLインジェクション対策

// 生のSQLに直接ユーザー入力を埋め込む（絶対ダメ！）
$email = $request->email;
$user = DB::select("SELECT * FROM users WHERE email = '$email'"); // ❌

// ✅ Eloquent ORM（自動的にエスケープされる）
$user = User::where('email', $request->email)->first();

// ✅ Query Builderのプリペアドステートメント
$user = DB::table('users')
    ->where('email', $request->email)
    ->first();

5. XSS（クロスサイトスクリプティング）対策

<!-- ✅ 自動的にHTMLエスケープされる -->
<p>ようこそ、{{ $user->name }}さん！</p>

<!-- ❌ エスケープされない（危険！） -->
<p>ようこそ、{!! $user->name !!}さん！</p>

6. パスワードリセット時の注意点

7. レート制限（ログイン試行回数制限）

// LoginController.php
use Illuminate\Support\Facades\RateLimiter;
use Illuminate\Validation\ValidationException;

public function login(Request $request)
{
    // レート制限キー（メールアドレス＋IPアドレス）
    $key = 'login:' . $request->email . ':' . $request->ip();

    // 5回失敗したら1分間ロック
    if (RateLimiter::tooManyAttempts($key, 5)) {
        $seconds = RateLimiter::availableIn($key);
        throw ValidationException::withMessages([
            'email' => "ログイン試行回数が多すぎます。{$seconds}秒後に再試行してください。",
        ]);
    }

    $credentials = $request->validate([
        'email' => 'required|email',
        'password' => 'required',
    ]);

    if (Auth::attempt($credentials)) {
        // 成功したらカウンターをクリア
        RateLimiter::clear($key);
        $request->session()->regenerate();
        return redirect('/dashboard');
    }

    // 失敗したらカウンターを増やす
    RateLimiter::hit($key, 60); // 60秒間保持

    // onlyInput('email'): パスワードは復元しない（セキュリティのため）
    return back()->withErrors([
        'email' => 'メールアドレスまたはパスワードが正しくありません。',
    ])->onlyInput('email');
}

✅ セキュリティ対策を理解して、安全な認証機能を実装しましょう！

まとめ