PHPトークン生成の完全ガイド！安全なWebアプリケーション作成のための5つのステップ

PHPトークン生成のイラスト図解PHP
2023.05.17
この記事は約5分で読めます。

 

【サイト内のコードはご自由に個人利用・商用利用いただけます】

この記事では、プログラムの基礎知識を前提に話を進めています。

説明のためのコードや、サンプルコードもありますので、もちろん初心者でも理解できるように表現してあります。

基本的な知識があればカスタムコードを使って機能追加、目的を達成できるように作ってあります。

※この記事は、一般的にプロフェッショナルの指標とされる『実務経験10,000時間以上』を凌駕する現役のプログラマチームによって監修されています。

サイト内のコードを共有する場合は、参照元として引用して下さいますと幸いです

※Japanシーモアは、常に解説内容のわかりやすさや記事の品質に注力しております。不具合、分かりにくい説明や不適切な表現、動かないコードなど気になることがございましたら、記事の品質向上の為にお問い合わせフォームにてご共有いただけますと幸いです。
(送信された情報は、プライバシーポリシーのもと、厳正に取扱い、処分させていただきます。)

はじめに

この記事を読めば、PHPでトークンを生成し、その使用方法や応用例を理解することができるようになります。

さらに、トークン生成に関する注意点や対処法、カスタマイズ方法も学ぶことが可能です。

●トークンとは

トークンは、セキュリティの観点から重要な役割を果たす一種の「通行証」です。

Webアプリケーションでは、ユーザー認証やCSRF（Cross-Site Request Forgery）対策などのために用いられます。

●PHPでのトークン生成の基本

PHPでは、openssl_random_pseudo_bytesやbin2hexといった関数を用いてランダムな文字列を生成し、それをトークンとして利用します。

○サンプルコード1：PHPでトークンを生成する基本的な方法

このコードは、ランダムな16バイトのバイナリデータを生成し、それを16進数の文字列に変換してトークンとしています。

<?php
$token = bin2hex(openssl_random_pseudo_bytes(16));
echo $token;
?>

●トークンの使い方

トークンはフォーム送信時などに使用します。

送信されたトークンとサーバー側で保持しているトークンが一致することで、正当なリクエストであることを確認します。

○サンプルコード2：フォーム送信にトークンを使う

このコードでは、フォーム送信時に生成したトークンを一緒に送信します。

<?php
// トークン生成
$token = bin2hex(openssl_random_pseudo_bytes(16));
$_SESSION['token'] = $token;

// フォーム表示
echo '<form method="post" action="check.php">';
echo '<input type="hidden" name="token" value="' . $token . '">';
echo '<input type="submit" value="送信">';
echo '</form>';
?>

●トークンの応用例

トークンは多様な場面で活用されますが、ここでは特にセキュリティ対策としての使用例を取り上げます。

具体的には、ウェブサイトへの悪意あるリクエストを防ぐための「CSRF対策」について説明します。

○サンプルコード3：CSRF対策にトークンを使用する

このコードでは、トークンを利用したCSRF対策を紹介しています。

最初にセッションを開始し、その後トークンを生成してセッションに保存します。

そして、POSTリクエストが送信された場合には、送信されたトークンとセッションに保存していたトークンが一致するかどうかを確認します。

もし一致しなければ、不正なリクエストと判断して処理を中断します。

<?php
session_start();

// トークンの生成とセッションへの保存
$token = bin2hex(openssl_random_pseudo_bytes(16));
$_SESSION['token'] = $token;

// トークンの確認
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    if ($_POST['token'] !== $_SESSION['token']) {
        echo '不正なリクエストです。';
        exit;
    }
}
?>

●注意点と対処法

トークンを使用する際には、セキュリティ上の注意点を把握しておくことが重要です。

特に、トークンが漏洩した場合や、トークンが推測されやすい（エントロピーが低い）場合は、セキュリティが脅かされる可能性があります。

これを防ぐためには、適切な長さと複雑さを持つトークンを生成し、HTTPSなどを用いてトークンを安全に送受信することが推奨されます。

●トークンのカスタマイズ方法

PHPの標準関数を使って生成されるトークンだけでなく、自分でカスタマイズしたトークンを生成することも可能です。

○サンプルコード4：独自のトークン生成方法

このコードでは、独自のトークン生成方法を紹介しています。

与えられた長さのランダムな文字列を生成する関数generate_custom_tokenを定義し、それを使ってトークンを生成しています。

この例では、0-9とa-z、A-Zを使って16文字のランダムな文字列を生成します。

<?php
function generate_custom_token($length = 16) {
    $characters = '0123456789abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ';
    $charactersLength = strlen($characters);
    $randomString = '';
    for ($i = 0; $i < $length; $i++) {
        $randomString .= $characters[rand(0, $charactersLength - 1)];
    }
    return $randomString;
}

$token = generate_custom_token();
echo $token;
?>

まとめ

この記事では、PHPでのトークンの生成とその利用方法について説明しました。

トークンはウェブアプリケーションのセキュリティを強化するために重要な役割を果たします。

適切なトークンの生成と利用を心掛け、安全なウェブアプリケーションの開発に役立ててください。