PHPでベーシック認証を設定する方法

2024年7月5日2024年8月21日

ウェブサイトの一部のページやディレクトリをパスワードで保護したい場合、ベーシック認証は非常に便利です。

この記事では、PHPを使ってベーシック認証を設定する方法を解説します。

ベーシック認証とは？

ベーシック認証は、ウェブサーバーがユーザー名とパスワードを要求し、それを元にユーザーのアクセス権を確認する仕組みです。

HTTPのヘッダー情報を使用して認証を行うため、実装が比較的簡単です。

ベーシック認証のセットアップ

まず、ベーシック認証を設定したいページの先頭に以下のコードを追加します。

このコードは、ユーザーが正しい認証情報を入力するまで、リクエストを繰り返し要求します。

<?php
if (!isset($_SERVER['PHP_AUTH_USER'])) {
    header('WWW-Authenticate: Basic realm="Protected Area"');
    header('HTTP/1.0 401 Unauthorized');
    echo '認証が必要です';
    exit;
} else {
    if ($_SERVER['PHP_AUTH_USER'] !== 'your_username' || $_SERVER['PHP_AUTH_PW'] !== 'your_password') {
        header('HTTP/1.0 403 Forbidden');
        echo 'ユーザー名またはパスワードが正しくありません';
        exit;
    }
}
?>

このコードでは、まず $_SERVER['PHP_AUTH_USER'] が設定されているかどうかを確認します。

設定されていない場合、WWW-Authenticate ヘッダーを送り、ブラウザに認証ダイアログを表示させます。

ブラウザから送信されたユーザー名とパスワードをチェックし、正しくない場合は再度認証を要求します。正しい場合のみ、次のコードに進むことができます。

ベーシック認証のベストプラクティス

ここでは、さらにセキュリティを向上させるためのベストプラクティスをいくつか紹介します。

SSL/TLSを使用する

ベーシック認証はパスワードを平文で送信するため、SSL/TLSを使用して接続を暗号化することが重要です。

これにより、データが第三者に盗聴されるリスクを軽減できます。

ハッシュ化されたパスワード

パスワードを直接コードに埋め込むのではなく、password_hash 関数を使ってハッシュ化し、セキュリティを向上させる方法も検討してください。

<?php
$valid_user = 'your_username';
$valid_pass = '$2y$10$exampleHashedPassword';

if (!isset($_SERVER['PHP_AUTH_USER'])) {
    header('WWW-Authenticate: Basic realm="Protected Area"');
    header('HTTP/1.0 401 Unauthorized');
    echo '認証が必要です';
    exit;
} else {
    if ($_SERVER['PHP_AUTH_USER'] !== $valid_user || !password_verify($_SERVER['PHP_AUTH_PW'], $valid_pass)) {
        header('HTTP/1.0 403 Forbidden');
        echo 'ユーザー名またはパスワードが正しくありません';
        exit;
    }
}
?>

この方法では、イニシャルパスワードを生成する際に password_hash 関数を使用してください。