Laravelの認証はどのように機能しますか？

Question

Accepted Answer

Laravelは、ログイン、登録、パスワードハッシング、セッション、ルート保護を処理する完全でセキュアな**認証システム**を標準で提供しています。Webアプリ用のスターターキットと、API用のトークンベース認証（Sanctum/Passport）がすぐに利用でき、セキュリティ上重要な機能を自分で構築する必要はありません。

## 基本（セッション、ハッシング、auth ヘルパー）

```php
use Illuminate\Support\Facades\Auth;

// attempt login — verifies credentials, establishes a session
if (Auth::attempt(['email' => $email, 'password' => $password])) {
    // logged in — Auth::user() now available everywhere
}
Auth::logout();
Auth::user();        // the authenticated user (or null)
Auth::check();        // is someone logged in?
Auth::id();           // the user's id

// passwords are HASHED automatically (bcrypt) — never plaintext
$user->password = Hash::make($plainPassword);
Hash::check($plain, $user->password);   // verify
```

Laravelは**セキュアなパスワードハッシング**（bcrypt/argon2 — プレーンテキストなし）とセッション管理を自動的に処理します。`Auth::attempt`は認証情報を検証し、ユーザーをログインさせます。

## ルートの保護

```php
Route::get('/dashboard', ...)->middleware('auth');   // require login (the auth middleware)

// in Blade
@auth ... @endauth         // content for logged-in users
@guest ... @endguest       // content for visitors
```

**`auth` ミドルウェア**はルートを保護し（ログインしていない場合はリダイレクト/401）— 認証を必須にするための標準的な方法です。

## スターターキットとAPI認証

```text
Starter kits (Breeze, Jetstream) → scaffold complete login/registration/password-reset
  UI and logic instantly — don't build auth screens by hand.

API authentication:
  ✓ Sanctum → simple token-based auth for SPAs, mobile apps, simple API tokens (common)
  ✓ Passport → full OAuth2 server for complex API auth scenarios
```

API用には、**Sanctum**（軽量なトークン認証）または**Passport**（完全なOAuth2）がトークンを発行・検証し、`auth:sanctum` ミドルウェアでAPIルートを保護します。

## なぜ重要なのか

認証は必須であり**セキュリティが重大**です — ほぼすべての実際のアプリケーションはユーザーアカウントとログインが必要で、認証は最も間違いやすく、実装が危険な要素の1つです（プレーンテキストのパスワード、弱いハッシング、セッションの脆弱性は深刻な侵害につながります）。

Laravelの組み込み認証システムは大きなメリットです。なぜなら、これを正しくセキュアに標準で処理するからです：**セキュアなパスワードハッシング**（bcrypt/argon2、プレーンテキストなし — 自動的に処理）、セッション管理、そして便利な`Auth` ヘルパーと**`auth` ミドルウェア**によるルート保護。

ユーザーを認証し、ルートを保護し、現在のユーザーにアクセスする方法を理解することは、アカウント機能を持つアプリケーションを構築するための基本です。

同様に重要なのは、エコシステムツールを知ることです：**スターターキット**（Breeze、Jetstream）は完全でセキュアなログイン/登録/パスワードリセット機能を即座にスキャフォールドし（error-prone な認証画面を手で構築する必要なし）、API用には**Sanctum**（SPA/モバイル向けの単純なトークン認証）または**Passport**（完全なOAuth2）がセキュアなトークンベース認証を提供します。

認証はどこにでも存在し、手作りの場合は危険なセキュリティ間違いの頻繁な原因であるため、Laravelの堅牢でセキュア、機能が充実した認証システムを理解すること — 基本、ルート保護、スターターキット、API認証オプション — は重要な知識です。これにより、この重大な機能を再発明してリスクにさらすことなく、セキュアなユーザー向けアプリケーションを構築でき、Laravelのような成熟したフレームワークを使用する主な利点です。