【ハンズオン】PHPでシンプルなRemember Me（自動ログイン）を実装する

.
├─ database.php
├─ login.php
├─ logout.php
├─ show_login_form.php
├─ show_mypage.php
└─ views
    ├── login_form.php
    └── mypage.php

<?php
session_start();

// formに埋め込むcsrf tokenの生成
if (empty($_SESSION['_csrf_token'])) {
    $_SESSION['_csrf_token'] = bin2hex(random_bytes(32));
}

// 本登録フォームを読み込む
require_once './views/login_form.php';

<p>ログイン</p>
<form action="login.php" method="POST">
    <input type="hidden" name="_csrf_token" value="<?= $_SESSION['_csrf_token']; ?>">
    <label>メールアドレス
        <input type="email" name="email">
    </label>
    <br>
    <label>パスワード
        <input type="password" name="password">
    </label>
    <br>
    <label>ログイン情報を記憶する
        <input type="checkbox" name="remember_me">
    </label>
    <br>
    <button type="submit">ログイン</button>
</form>

<?php
session_start();

require_once './database.php';
$pdo = getPdo();

$request = filter_input_array(INPUT_POST);

// csrf tokenが正しければOK
if (
    empty($request['_csrf_token'])
    || empty($_SESSION['_csrf_token'])
    || $request['_csrf_token'] !== $_SESSION['_csrf_token']
) {
    exit('不正なリクエストです');
}

// 本来はここでメールアドレスとパスワードのバリデーションをする

// 入力されたメールアドレスに合致するユーザーを取得
$sql = 'SELECT * FROM users WHERE `email` = :email AND `status` = :status';
$stmt = $pdo->prepare($sql);
$stmt->bindValue(':email', $request['email'], \PDO::PARAM_STR);
$stmt->bindValue(':status', 'public', \PDO::PARAM_STR);
$stmt->execute();
$user = $stmt->fetch(\PDO::FETCH_OBJ);

// 「メールアドレスが間違っている」のようにどちらが間違っているのか表示すると、
// 別人のアカウントでログインしようとする悪意あるユーザーに、
// 「メールアドレスが間違っている」「パスワードは間違っていない」という情報を与えてしまうので、明示しない
if (
    !$user
    || !password_verify($request['password'], $user->password)
) {
    exit('登録情報が間違っています。');
}

// セッションが有効な間はログイン済みとなる
$_SESSION['user_id'] = $user->id;

// 「ログイン情報を記憶する」をチェックしていなければ、このままマイページへ
if (empty($request['remember_me'])) {
    header('Location: ./show_mypage.php');
    exit();
}

// ランダムな文字列のtokenを生成
$rememberToken = bin2hex(random_bytes(32));

// 暗号化したremember tokenを保存
$sql = 'UPDATE users SET `remember_token` = :remember_token WHERE `email` = :email';
$stmt = $pdo->prepare($sql);
$stmt->bindValue(':remember_token', md5($rememberToken), \PDO::PARAM_STR);
$stmt->bindValue(':email', $request['email'], \PDO::PARAM_STR);
$stmt->execute();

// cookieのオプション
$options = [
    'expires' => time() + 60 * 60 * 24 * 365, // cookieの有効期限を1年間に設定
    'path' => '/', // 有効範囲を「ドメイン配下全て」に設定
    'httponly' => true // HTTPを通してのみcookieにアクセス可能（JavaScriptからのアクセスは不可となる）
];

setcookie('remember_token', $rememberToken, $options);

header('Location: ./show_mypage.php');
exit();

<?php
session_start();

require_once './database.php';
$pdo = getPdo();

// (1) セッションにユーザーIDが保存されている場合
if (isset($_SESSION['user_id'])) {
    // セッションに保存されたユーザーIDに合致するユーザーを取得
    $sql = 'SELECT * FROM users WHERE `id` = :id AND `status` = :status';
    $stmt = $pdo->prepare($sql);
    $stmt->bindValue(':id', $_SESSION['user_id'], \PDO::PARAM_INT);
    $stmt->bindValue(':status', 'public', \PDO::PARAM_STR);
    $stmt->execute();
    $user = $stmt->fetch(\PDO::FETCH_OBJ);

// (2) セッションのユーザーIDは破棄されているが、cookieにremember_tokenが保存されている場合
} else if (isset($_COOKIE['remember_token'])) {
    // usersテーブルに保存されている remember_token は md5() で暗号化されているので、同様に暗号化した token をWHERE句に指定する
    $sql = 'SELECT * FROM users WHERE `remember_token` = :remember_token AND `status` = :status';
    $stmt = $pdo->prepare($sql);
    $stmt->bindValue(':remember_token', md5($_COOKIE['remember_token']), \PDO::PARAM_STR);
    $stmt->bindValue(':status', 'public', \PDO::PARAM_STR);
    $stmt->execute();
    $user = $stmt->fetch(\PDO::FETCH_OBJ);
}

// ユーザーが一致しなければ、ログインフォームへ
if (empty($user)) {
    header('Location: ./show_login_form.php');
    exit();
}

// ユーザーIDをセッションに保存してログイン済みとする
$_SESSION['user_id'] = $user->id;

// formに埋め込むcsrf tokenの生成
if (empty($_SESSION['_csrf_token'])) {
    $_SESSION['_csrf_token'] = bin2hex(random_bytes(32));
}

require_once './views/mypage.php';

<p><?= $user->email ?>さんのマイページ</p>
<form action="logout.php" method="POST">
    <input type="hidden" name="_csrf_token" value="<?= $_SESSION['_csrf_token']; ?>">
    <button type="submit">ログアウトはこちら</button>
</form>

<?php
session_start();

require_once './database.php';
$pdo = getPdo();

$request = filter_input_array(INPUT_POST);

// csrf tokenが正しければOK
if (
    empty($request['_csrf_token'])
    || empty($_SESSION['_csrf_token'])
    || $request['_csrf_token'] !== $_SESSION['_csrf_token']
) {
    exit('不正なリクエストです');
}

// remember_tokenをNULLにする
$sql = 'UPDATE users SET remember_token = NULL WHERE `id` = :id';
$stmt = $pdo->prepare($sql);
$stmt->bindValue(':id', $_SESSION['user_id'], \PDO::PARAM_INT);
$stmt->execute();

// remeber_tokenをcookieから削除
setcookie('remember_token', '', time() - 6000, '/');

// 以下、セッションの削除処理

// セッション変数を初期化（メモリから削除するため）
$_SESSION = [];

// セッションクッキーを削除
setcookie('PHPSESSID', '', time() - 6000, '/');

// セッションファイル（セッションの実データ）を削除
session_destroy();

// ログインフォームへ
header('Location: ./show_login_form.php');
exit();