PHPでログイン試行回数を制限してブルートフォース攻撃を防ぐ方法

session_start();

// 最大試行回数とロック時間の設定
$max_attempts = 5;
$lockout_time = 15 * 60; // 15分

// 試行回数とロック時間の初期化
if (!isset($_SESSION['login_attempts'])) {
    $_SESSION['login_attempts'] = 0;
    $_SESSION['lockout_time'] = 0;
}

// ログイン試行の処理
if ($_SESSION['lockout_time'] > time()) {
    echo "アカウントが一時的にロックされています。後で再試行してください。";
} else {
    if (check_login($username, $password)) {
        // ログイン成功時の処理
        $_SESSION['login_attempts'] = 0; // 試行回数のリセット
        echo "ログイン成功";
    } else {
        // ログイン失敗時の処理
        $_SESSION['login_attempts']++;
        if ($_SESSION['login_attempts'] >= $max_attempts) {
            $_SESSION['lockout_time'] = time() + $lockout_time;
            echo "試行回数が多すぎます。アカウントがロックされました。";
        } else {
            echo "ログイン失敗。残り試行回数：" . ($max_attempts - $_SESSION['login_attempts']);
        }
    }
}

   CREATE TABLE login_attempts (
       user_id INT NOT NULL,
       attempt_count INT DEFAULT 0,
       last_attempt TIMESTAMP DEFAULT CURRENT_TIMESTAMP,
       lockout_until TIMESTAMP NULL,
       PRIMARY KEY (user_id)
   );

   $stmt = $pdo->prepare("SELECT attempt_count, lockout_until FROM login_attempts WHERE user_id = ?");
   $stmt->execute([$user_id]);
   $result = $stmt->fetch();

   if ($result && $result['lockout_until'] > date('Y-m-d H:i:s')) {
       echo "アカウントがロックされています。後で再試行してください。";
   } else {
       if (check_login($username, $password)) {
           // ログイン成功時の処理
           $stmt = $pdo->prepare("UPDATE login_attempts SET attempt_count = 0, lockout_until = NULL WHERE user_id = ?");
           $stmt->execute([$user_id]);
           echo "ログイン成功";
       } else {
           // ログイン失敗時の処理
           $attempt_count = $result['attempt_count'] + 1;
           $lockout_until = $attempt_count >= $max_attempts ? date('Y-m-d H:i:s', strtotime('+15 minutes')) : NULL;
           $stmt = $pdo->prepare("UPDATE login_attempts SET attempt_count = ?, lockout_until = ? WHERE user_id = ?");
           $stmt->execute([$attempt_count, $lockout_until, $user_id]);
           echo $attempt_count >= $max_attempts ? "アカウントがロックされました。" : "ログイン失敗。残り試行回数：" . ($max_attempts - $attempt_count);
       }
   }

   <!-- フォームにreCAPTCHAを追加 -->
   <form method="post" action="login.php">
       <input type="text" name="username" placeholder="Username">
       <input type="password" name="password" placeholder="Password">
       <!-- reCAPTCHAウィジェット -->
       <div class="g-recaptcha" data-sitekey="あなたのサイトキーを入力"></div>
       <input type="submit" value="ログイン">
   </form>

   <script src="https://www.google.com/recaptcha/api.js" async defer></script>

   // reCAPTCHAの検証
   $response = $_POST['g-recaptcha-response'];
   $secret = 'あなたのシークレットキーを入力';

   $verify = file_get_contents("https://www.google.com/recaptcha/api/siteverify?secret={$secret}&response={$response}");
   $captcha_success = json_decode($verify);

   if ($captcha_success->success) {
       // CAPTCHAに合格した場合の処理
       echo "CAPTCHA合格。ログイン処理を続行します。";
   } else {
       // CAPTCHAに失敗した場合の処理
       echo "CAPTCHA検証に失敗しました。再試行してください。";
   }

session_start();

// データベース接続（PDOの例）
$pdo = new PDO('mysql:host=localhost;dbname=example_db', 'username', 'password');

// 最大試行回数とロック期間の設定
$max_attempts = 5;
$lockout_time = 15 * 60; // 15分

// ユーザーの試行データを取得
$stmt = $pdo->prepare("SELECT attempt_count, last_attempt FROM login_attempts WHERE user_id = ?");
$stmt->execute([$user_id]);
$result = $stmt->fetch();

if ($result) {
    $attempt_count = $result['attempt_count'];
    $last_attempt = strtotime($result['last_attempt']);
    $current_time = time();

    // ロック期間のチェック
    if ($attempt_count >= $max_attempts && ($current_time - $last_attempt) < $lockout_time) {
        echo "アカウントがロックされています。後で再試行してください。";
    } else {
        // ロックが解除された場合、試行回数をリセット
        if (($current_time - $last_attempt) >= $lockout_time) {
            $attempt_count = 0;
        }

        // ログインの試行を実行
        if (check_login($username, $password)) {
            // ログイン成功時の処理
            $stmt = $pdo->prepare("UPDATE login_attempts SET attempt_count = 0 WHERE user_id = ?");
            $stmt->execute([$user_id]);
            echo "ログイン成功";
        } else {
            // ログイン失敗時の処理
            $attempt_count++;
            $stmt = $pdo->prepare("UPDATE login_attempts SET attempt_count = ?, last_attempt = NOW() WHERE user_id = ?");
            $stmt->execute([$attempt_count, $user_id]);
            echo "ログイン失敗。残り試行回数：" . ($max_attempts - $attempt_count);
        }
    }
} else {
    // 試行データが存在しない場合、新規レコードを作成
    $stmt = $pdo->prepare("INSERT INTO login_attempts (user_id, attempt_count, last_attempt) VALUES (?, 1, NOW())");
    $stmt->execute([$user_id]);
    echo "ログイン失敗。残り試行回数：" . ($max_attempts - 1);
}

   ALTER TABLE login_attempts ADD COLUMN lockout_until TIMESTAMP NULL;

   // ユーザーの試行データを取得
   $stmt = $pdo->prepare("SELECT attempt_count, lockout_until FROM login_attempts WHERE user_id = ?");
   $stmt->execute([$user_id]);
   $result = $stmt->fetch();

   if ($result && $result['lockout_until'] > date('Y-m-d H:i:s')) {
       echo "アカウントがロックされています。後で再試行してください。";
   } else {
       if (check_login($username, $password)) {
           // ログイン成功時の処理
           $stmt = $pdo->prepare("UPDATE login_attempts SET attempt_count = 0, lockout_until = NULL WHERE user_id = ?");
           $stmt->execute([$user_id]);
           echo "ログイン成功";
       } else {
           // ログイン失敗時の処理
           $attempt_count = $result['attempt_count'] + 1;
           $lockout_until = $attempt_count >= $max_attempts ? date('Y-m-d H:i:s', strtotime('+15 minutes')) : NULL;
           $stmt = $pdo->prepare("UPDATE login_attempts SET attempt_count = ?, lockout_until = ? WHERE user_id = ?");
           $stmt->execute([$attempt_count, $lockout_until, $user_id]);
           echo $attempt_count >= $max_attempts ? "アカウントがロックされました。" : "ログイン失敗。残り試行回数：" . ($max_attempts - $attempt_count);
       }
   }

   CREATE TABLE login_logs (
       log_id INT AUTO_INCREMENT PRIMARY KEY,
       user_id INT NOT NULL,
       login_time TIMESTAMP DEFAULT CURRENT_TIMESTAMP,
       success TINYINT(1) NOT NULL,
       ip_address VARCHAR(45) NOT NULL,
       user_agent VARCHAR(255) NOT NULL
   );

   $stmt = $pdo->prepare("INSERT INTO login_logs (user_id, success, ip_address, user_agent) VALUES (?, ?, ?, ?)");
   $stmt->execute([$user_id, $is_success, $_SERVER['REMOTE_ADDR'], $_SERVER['HTTP_USER_AGENT']]);

   $to = $user_email;
   $subject = "異常なログイン試行を検知しました";
   $message = "あなたのアカウントに対して異常なログイン試行が検出されました。ログイン元IP: " . $_SERVER['REMOTE_ADDR'];
   $headers = "From: no-reply@example.com";

   mail($to, $subject, $message, $headers);

CREATE TABLE login_attempts (
    user_id INT NOT NULL,
    attempt_count INT DEFAULT 0,
    last_attempt TIMESTAMP DEFAULT CURRENT_TIMESTAMP,
    lockout_until TIMESTAMP NULL,
    PRIMARY KEY (user_id)
);

session_start();
$pdo = new PDO('mysql:host=localhost;dbname=example_db', 'username', 'password');

// 最大試行回数とロックアウト期間の設定
$max_attempts = 5;
$lockout_time = 15 * 60; // 15分

// ログイン試行の処理
function login($username, $password) {
    global $pdo, $max_attempts, $lockout_time;

    // ユーザーIDを取得（仮にユーザーIDをユーザー名から取得する）
    $stmt = $pdo->prepare("SELECT id FROM users WHERE username = ?");
    $stmt->execute([$username]);
    $user = $stmt->fetch();

    if (!$user) {
        echo "ユーザー名が見つかりません。";
        return;
    }

    $user_id = $user['id'];

    // ログイン試行データを取得
    $stmt = $pdo->prepare("SELECT attempt_count, lockout_until FROM login_attempts WHERE user_id = ?");
    $stmt->execute([$user_id]);
    $result = $stmt->fetch();

    $current_time = time();

    // ロックアウト状態のチェック
    if ($result && $result['lockout_until'] > date('Y-m-d H:i:s')) {
        echo "アカウントがロックされています。後で再試行してください。";
        return;
    }

    // ロック解除のチェック
    if ($result && strtotime($result['lockout_until']) < $current_time) {
        // ロック期間が終了している場合、試行回数をリセット
        $stmt = $pdo->prepare("UPDATE login_attempts SET attempt_count = 0, lockout_until = NULL WHERE user_id = ?");
        $stmt->execute([$user_id]);
        $result['attempt_count'] = 0;
    }

    // パスワードの検証
    if (check_login($username, $password)) {
        // ログイン成功時の処理
        $stmt = $pdo->prepare("UPDATE login_attempts SET attempt_count = 0, lockout_until = NULL WHERE user_id = ?");
        $stmt->execute([$user_id]);
        echo "ログイン成功";
    } else {
        // ログイン失敗時の処理
        $attempt_count = $result ? $result['attempt_count'] + 1 : 1;
        $lockout_until = $attempt_count >= $max_attempts ? date('Y-m-d H:i:s', $current_time + $lockout_time) : NULL;

        if ($result) {
            // 試行回数の更新
            $stmt = $pdo->prepare("UPDATE login_attempts SET attempt_count = ?, lockout_until = ? WHERE user_id = ?");
            $stmt->execute([$attempt_count, $lockout_until, $user_id]);
        } else {
            // 新規レコードの作成
            $stmt = $pdo->prepare("INSERT INTO login_attempts (user_id, attempt_count, lockout_until) VALUES (?, ?, ?)");
            $stmt->execute([$user_id, $attempt_count, $lockout_until]);
        }

        if ($attempt_count >= $max_attempts) {
            echo "試行回数が多すぎます。アカウントがロックされました。";
        } else {
            echo "ログイン失敗。残り試行回数：" . ($max_attempts - $attempt_count);
        }
    }
}

// パスワード検証関数（ダミー）
function check_login($username, $password) {
    // 実際にはデータベースからハッシュ化されたパスワードを取り出して照合する
    return $username === "testuser" && $password === "password123";
}

// サンプルの使用例
login($_POST['username'], $_POST['password']);