Refactor AuthController to use 'sanctum-api-token' for token creation and update file permissions for various directories

Author: idw-coder

README.md

@@ -25,6 +25,7 @@ Laravelはvendor/に数千〜数万のファイルがあり、それを頻繁に
 
 ### ユーザー認証
 Sanctum とGoogoleOAuth
+
 ### CI/CD
 ローカルではLaravel、MySQLはDocker Sail環境、Vueはnpm run dev で開発サーバーを使用
 フロントエンド（Vue）、バックエンド（Laravel）はlightsailに
@@ -431,6 +432,41 @@ sequenceDiagram
 
 ```
 
+##### **bcryptでログイン時パスワード平文をハッシュ化**
+
+
+
+0. ユーザー新規登録時`'password' => bcrypt($validated['password']), `
+入力された平文パスワード→ハッシュ化
+    - ソルトの値によってハッシュ値が変わる（ランダムなソルト値が使用される）
+    ソルトはハッシュ文字列に含まれるので、のちのログイン時に入力されたパスワードを同様にハッシュ化して比較は可能
+    - 上記についてソルトは公開されていることになるが、パスワードを直接推測出来ないので、安全らしい
+    - コストファクターはハッシュ化難易度を設定
+
+1. `if (!Auth::attempt($request->only('email', 'password'))) {`
+↓（内部的にLaravelでは）
+ログイン時に入力されるemailからユーザーを検索
+2. DBでemailで一致したユーザーのハッシュ化されたパスワードの
+ハッシュに含まれるソルトとコストファクターを抽出
+3. 同じソルトとコストファクターで入力されたパスワードをハッシュ化
+4. ハッシュ化されたパスワードどうしを比較
+
+上記のメールアドレス、パスワードのログイン時のユーザー認証についてのロジックは
+**Sanctumを使用しているわけではない**
+
+**Sanctumでしていること**
+- 新規登録、ログイン時にトークン生成（`createToken()`）
+- `personal_access_tokens`テーブルにトークンのハッシュを保存
+- レスポンスにプレーンテキストトークンを含めて返す
+- クライアントはトークンをローカルストレージに保存
+- クライアントからリクエスト時に`Authorization: Bearer {token}`ヘッダーで送信
+- `auth:sanctum`ミドルウェアがトークンを検証し、有効であれば認証済みユーザーとして処理
+- ログアウト時に`personal_access_tokens`テーブルからトークンを削除
+
+
+
+
+
 ### CI/CD 設定
 
 Settings → Secrets and variables → Actions

app/Http/Controllers/Api/AuthController.php

@@ -61,7 +61,7 @@ public function login(Request $request)
              * createToken(name): トークン名を指定してトークンを発行
              * plainTextToken: トークンを文字列で返却
              */
-            $authToken = $user->createToken('api-token')->plainTextToken;
+            $authToken = $user->createToken('sanctum-api-token')->plainTextToken;
 
             return response()->json([
                 'authToken' => $authToken,
@@ -132,7 +132,7 @@ public function register(Request $request)
             $user = User::create([
                 'name' => $validated['name'],
                 'email' => $validated['email'],
-                'password' => bcrypt($validated['password']),
+                'password' => bcrypt($validated['password']), // パスワードをハッシュ化
             ]);
 
             // free ロールを付与
@@ -145,7 +145,7 @@ public function register(Request $request)
              * createToken(name): トークン名を指定してトークンを発行
              * plainTextToken: トークンを文字列で返却
              */
-            $authToken = $user->createToken('api-token')->plainTextToken;
+            $authToken = $user->createToken('sanctum-api-token')->plainTextToken;
 
             return response()->json([
                 'authToken' => $authToken,

app/Http/Controllers/Api/GoogleAuthController.php

@@ -67,7 +67,7 @@ public function handleGoogleCallback(Request $request)
             }
 
             // SanctumのAPIトークン発行
-            $authToken = $user->createToken('auth-token')->plainTextToken;
+            $authToken = $user->createToken('sanctum-api-token')->plainTextToken;
 
             return response()->json([
                 'user' => $user->load('roles'), // 付与ロールも返す

app/Models/User.php

@@ -40,7 +40,7 @@ class User extends Authenticatable
      */
     protected $hidden = [
         'password',
-        'remember_token',
+        'remember_token', // 注意: このプロジェクトでは未使用（API認証にSanctumを使用しているため、WebセッションのRemember Me機能は使用していない）
     ];
 
     /**