PHPでパスワードを安全に保存する方法【password_hash・password_verify】

PHPでログイン機能を作るとき、パスワードをそのままDBへ保存してはいけません。漏えい時の被害を抑えるため、password_hash() でハッシュ化し、ログイン時は password_verify() で照合します。

この記事では、登録時の保存、ログイン時の照合、将来の再ハッシュまでを最小構成で整理します。

登録時の保存

<?php
$password = $_POST['password'] ?? '';

if (strlen($password) < 12) {
    throw new RuntimeException('パスワードは12文字以上にしてください。');
}

$hash = password_hash($password, PASSWORD_DEFAULT);

// 例: DBには平文ではなく $hash を保存する
$stmt = $pdo->prepare(
    'INSERT INTO users (email, password_hash) VALUES (:email, :password_hash)'
);

$stmt->execute([
    ':email' => $_POST['email'],
    ':password_hash' => $hash,
]);

ログイン時の照合

<?php
$stmt = $pdo->prepare(
    'SELECT id, email, password_hash FROM users WHERE email = :email LIMIT 1'
);

$stmt->execute([
    ':email' => $_POST['email'] ?? '',
]);

$user = $stmt->fetch();

if (!$user || !password_verify($_POST['password'] ?? '', $user['password_hash'])) {
    throw new RuntimeException('メールアドレスまたはパスワードが正しくありません。');
}

if (password_needs_rehash($user['password_hash'], PASSWORD_DEFAULT)) {
    $newHash = password_hash($_POST['password'], PASSWORD_DEFAULT);

    $update = $pdo->prepare(
        'UPDATE users SET password_hash = :password_hash WHERE id = :id'
    );
    $update->execute([
        ':password_hash' => $newHash,
        ':id' => $user['id'],
    ]);
}

実装のポイント

やってはいけないこと

• パスワードを平文で保存する
• md5() や sha1() だけで保存する
• ログイン失敗理由を細かく出しすぎる
• DBエラーや例外にパスワードを含める

あわせて読みたい

• PHPでPDOのプリペアドステートメントを使う方法
• WordPress REST APIをnonceで安全に使う方法
• LaravelでAPIレスポンスを整える方法

参考資料

• PHP Manual password_hash
• PHP Manual password_verify
• PHP Manual password_needs_rehash