パスワードの安全な管理

// 危険: MD5
crypto.createHash('md5').update(password).digest('hex');
// 出力: "5f4dcc3b5aa765d61d8327deb882cf99"

// 危険: SHA-1
crypto.createHash('sha1').update(password).digest('hex');

// まだ危険: SHA-256（高速すぎる）
crypto.createHash('sha256').update(password).digest('hex');

import bcrypt from 'bcrypt';

// パスワードのハッシュ化（登録時）
const saltRounds = 12;  // コスト係数（推奨: 10-12）
const hashedPassword = await bcrypt.hash(password, saltRounds);
// 出力例: "$2b$12$LJ3m4vKiGY0FzPLgFt5c6eNqKS3dU8pVqIy3pI9vKsWjF2kB6"
//          $2b$ = アルゴリズム
//          12$  = コスト係数
//          LJ3m... = ソルト + ハッシュ

// パスワードの検証（ログイン時）
const isValid = await bcrypt.compare(inputPassword, hashedPassword);
if (isValid) {
  // 認証成功
} else {
  // 認証失敗
}

import { z } from 'zod';

const passwordSchema = z.string()
  .min(8, 'パスワードは8文字以上です')
  .max(128, 'パスワードは128文字以内です')
  .regex(/[A-Z]/, '大文字を1文字以上含めてください')
  .regex(/[a-z]/, '小文字を1文字以上含めてください')
  .regex(/[0-9]/, '数字を1文字以上含めてください');

// 追加チェック
function validatePassword(password: string, email: string): string[] {
  const errors: string[] = [];

  // よく使われるパスワードのチェック
  const commonPasswords = ['password', '12345678', 'qwerty123'];
  if (commonPasswords.includes(password.toLowerCase())) {
    errors.push('よく使われるパスワードは使用できません');
  }

  // メールアドレスとの類似チェック
  const emailLocal = email.split('@')[0].toLowerCase();
  if (password.toLowerCase().includes(emailLocal)) {
    errors.push('メールアドレスを含むパスワードは使用できません');
  }

  return errors;
}

import crypto from 'crypto';

// リセットトークンの生成
async function createResetToken(email: string): Promise<string> {
  const user = await db.findUserByEmail(email);

  // ユーザーの存在有無に関わらず同じレスポンスを返す（ユーザー列挙防止）
  if (!user) return '';

  // 暗号学的に安全なランダムトークン
  const token = crypto.randomBytes(32).toString('hex');
  const tokenHash = crypto.createHash('sha256').update(token).digest('hex');

  // トークンのハッシュをDBに保存（有効期限1時間）
  await db.saveResetToken(user.id, tokenHash, Date.now() + 3600000);

  return token; // メールで送信（トークン自体はDBに保存しない）
}

// リセットの実行
async function resetPassword(token: string, newPassword: string): Promise<boolean> {
  const tokenHash = crypto.createHash('sha256').update(token).digest('hex');
  const record = await db.findResetToken(tokenHash);

  if (!record || record.expiresAt < Date.now()) {
    return false; // トークンが無効または期限切れ
  }

  const hashedPassword = await bcrypt.hash(newPassword, 12);
  await db.updatePassword(record.userId, hashedPassword);
  await db.deleteResetToken(tokenHash); // トークンを無効化（使い捨て）

  return true;
}