自動ログイン

🐾 猫で例えると？

箱に迷わず入るアメショを、「前回もらった入場券を見せるだけで入れる猫」と考えてみましょう。毎回名前と合言葉を言わなくても、入口では入場券の有効性を確かめています。自動ログインも確認を省くのではなく、入力の代わりに、入場券に当たる保存済みの情報（トークン）を検証する仕組みです。

💻 Webアプリケーションにおける「自動ログイン」とは？

SNSやショッピングサイトでは、一度認証した後、アプリを開き直してもログイン状態が続く場合があります。自動ログインは、このように繰り返し利用するときの入力を減らすための機能です。保存する端末と有効期限をどう扱うかで、便利さと第三者に使われるリスクが変わります。

初回の認証後に発行したランダムなトークンなどを端末に保存し、次回のアクセスでサーバーが期限や失効状態を検証します。Cookieを使う場合はブラウザが対象サーバーへ送信します。パスワードの自動入力と、ログイン状態の継続は異なる機能です。

⚠️ 自動ログインの仕組みと注意点

保存されたトークンは合鍵のように扱う必要があります。持っているだけでログイン状態を復元できる方式では、端末の共有やトークン漏洩がリスクになります。

なりすましと端末の共有リスク

もし、カフェの共有パソコンで自動ログインを有効にしたまま帰ってしまったら、次にそのパソコンを使った第三者があなたのアカウントに自由にアクセスできてしまいます。また、クロスサイトスクリプティング（XSS）などのサイバー攻撃によって、ブラウザに保存されたトークンが盗み出されると、遠隔からアカウントを完全に乗っ取られる危険性があります。

// PHP 7.3以降、HTTPS接続でのCookie設定部分のみの例
// サーバー側でトークンのハッシュ・所有者・期限を保存済みとする
$token = bin2hex(random_bytes(32));
// ここで$tokenのハッシュと期限をデータベースに保存する
setcookie("auto_login", $token, [
    "expires" => time() + 60 * 60 * 24 * 30,
    "path" => "/",
    "secure" => true,
    "httponly" => true,
    "samesite" => "Lax",
]);

これはCookie設定の例であり、自動ログイン全体の実装ではありません。サーバーでも期限を検証し、ログアウトや不審な利用時に失効させます。HttpOnlyはJavaScriptによるCookieの読み取りを防ぎますが、XSSによる本人権限の操作まで防ぐものではありません。

🛠️ 自動ログインを賢く実装・利用するためのポイント

便利さと安全性を両立させるために、システム開発では以下のベストプラクティスが求められます。

• 重要な操作の前には再認証を求める： 普段は自動ログインで快適に使わせつつも、パスワードの変更や支払いなど、影響の大きな操作では再認証を求める設計を検討します。
• 期限と失効をサーバー側でも管理する： 上の例は発行から30日後という固定期限です。「最後の利用から30日」とは異なります。延長する条件や、トークンの更新・古いトークンの無効化を決めましょう。
• ログイン履歴と強制ログアウト機能を提供する： ユーザー自身が「現在ログイン中の端末一覧」を確認し、不審な端末からのアクセスを強制的に遮断（セッション破棄）できる機能を用意します。

迷わず箱に入るアメショのような手軽さを支えるのが自動ログインです。省くのは入力の手間で、トークンの検証ではありません。共有端末では保存を避け、自分の端末でも使わなくなったセッションを解除できるか確認しておきましょう。

参考資料

• PHP：setcookie（別タブで開く）