PHP PEAR AUTH 認証でのパスワードを忘れた場合

質問

AUTHを利用しての、認証を行う場合、usernameとpasswordの
カラムを持つテーブルを参照しますが、このpasswordは
MD5でハッシュした値で、テーブルに格納しなければならないようです。
この場合、パスワードを忘れてしまった際など、テーブルを
見てすぐにpasswordの値が確認できないので不便です。
なのでテーブルに格納するパスワードは平文としたいと思います。
平文でpasswordを格納しても、'cryptType'=>"none"とすれば
認証は通りますが、やはり平文では心配な所があります。
良い解決方法があれば教えてください。

回答No.3

world99 · ベストアンサー

こんにちは。
テーブルに、md5で暗号化したパスワードを格納する列と、平文のパスワードを格納する列を用意するというのは、如何でしょうか？
つまり、認証時は、暗号化した列を使用し、パスワード忘れの際は、平文のパスワード列を利用します。

お礼

ありがとうございます。この発想は思いつきませんでした。
一般的には、どのようにするのが良いのでしょうか？
テーブルの定義なども含めて参考サイトなどがあれば、教えてください。

回答No.4

world99

こんにちは。ANo.3です。
パスワード忘れ対応処理では、登録しているパスワードをメールで通知する方法が多いと思います。しかし、どのような実装方法が一般的なのかはわかりません。私が提案した方法だと、パスワード変更の際に、２つのカラムを更新しなくてはならない点以外は、問題がないはずです。新たにパスワードを発行するというANo.2のcopymasterさんが回答された方法もありだと思います。
経験を元に話をしましたので、特に参考にしたサイトはありません。すいません。
あと、私個人的な考えかもしれませんが、パスワード変更をさせない仕様というのが、少々気になります。

お礼

ありがとうございます。とても参考になりました。

回答No.2

copymaster

パスワードを忘れたのなら
忘れたパスワードを呼び出すのではなく、
パスワードを再発行するのが妥当な手段だと思います。

個人的には、たとえ管理者でも、利用者が自分で変更した生のパスワード（それはひょっとしたら他のサイトでも使っているかもしれない）を見ることができるのはいかがなものかと思っています。

補足

パスワードは、こちら側で決定します。利用者にパスワードは変更させない予定です。引き続きお願いします。

回答No.1

moon_night

HTTPSにしてなければ平文でもMD5でもネット上でやり取りするデータは同じだからそんなに気にする必要はないと思います。
どこまでセキュリティーを高くしなければいけないかはサイトの運用次第ですし。

補足

平文でもMD5でもネット上でやり取りするデータは同じというのは、知りませんでした。では、元々、MD5はセキュリティとしは低いのでしょうか？