LaravelスターターキットにFortifyが使用・2段階認証（2要素認証）がデフォルトで利用可能に

Laravelスターターキットは、認証まわりに Laravel Fortify を使うようになりました。

Fortifyは、ログイン・登録・パスワードリセット・メール認証・2段階認証（2FA）*などを提供する認証バックエンドです。

これによって、よりセキュリティ機能を追加のコーディングなしで利用可能となりました。変更点や、デフォルトで使える認証周りのあらたな機能をご紹介します。

*厳密にはFortify が提供するのは「2要素認証（Two-Factor Authentication）」です。ただ日本では一般的に「2段階認証」と呼ばれることが多いため、ここではその表現を使っています。

変更点
デフォルトで使える認証周りのあらたな機能
1. 2段階認証（2FA）
2. リカバリー機能
さいごに

変更点

まずは変更点から。

ルート設定の変更

以前はroutes/auth.phpファイルに認証用ルート設定が書かれていました。現在は、下記のvendorディレクトリ以下に、認証用のルート設定ファイルがあります。

vendor/laravel/fortify/routes/routes.php

【routes.php】

なお、プロフィール変更用のルート設定は、以前と同様、routes/web.php内にあります。こちらには、後程ご紹介する2段階認証用のルート設定も追加されています。

【web.php】

    Route::get('settings/two-factor', TwoFactor::class)
        ->middleware(
            when(
                Features::canManageTwoFactorAuthentication()
                    && Features::optionEnabled(Features::twoFactorAuthentication(), 'confirmPassword'),
                ['password.confirm'],
                [],
            ),
        )
        ->name('two-factor.show');

Route::get('settings/two-factor', TwoFactor::class)

->middleware(

when(

Features::canManageTwoFactorAuthentication()

&& Features::optionEnabled(Features::twoFactorAuthentication(), 'confirmPassword'),

['password.confirm'],

[],

)

->name('two-factor.show');

認証機能（バックエンド）

たとえばスターターキットでLivewireを選択した場合は、Livewireによって認証処理が作成されていました。変更後は、Fortifyが使われています。

これに伴い、Livewire選択時には、app/Livewire/Authのファイルがなくなりました。

表示用のファイルについては、以前と変わらず、resources/views/livewire/authにあります。

ただ、コードは一部変わっています。

たとえばユーザー登録フォームには、次のようにLivewireを使ってフォーム送信時の処理が設定されていました。

【register.blade.php(以前）】

<form wire:submit="register" class="flex flex-col gap-6">

1	<form wire:submit="register" class="flex flex-col gap-6">

現在は、次のように通常のLaravelのルートが設定されています。

【register.blade.php(現在）】

<form method="POST" action="{{ route('register.store') }}" class="flex flex-col gap-6">

1	<form method="POST" action="{{ route('register.store') }}" class="flex flex-col gap-6">

なおReactとVue.jsの場合にも、Inertia.jsという技術を使用した実装になっていますが、いずれも、Fortifyを使って処理を行う流れに変更されています。

レート制限（Rate Limiting）

レート制限は以前も実装されていましたが、Fortifyでは、ログインや2段階認証実行時にレート制限が自動適用されます。

また、設定方法がより分かりやすくなりました。

app/Providers/FortifyServiceProvider.php内の configureRateLimiting() で設定されています。

【FortifyServiceProvider.php】

    private function configureRateLimiting(): void
    {
        RateLimiter::for('two-factor', function (Request $request) {
            return Limit::perMinute(5)->by($request->session()->get('login.id'));
        });

        RateLimiter::for('login', function (Request $request) {
            $throttleKey = Str::transliterate(Str::lower($request->input(Fortify::username())).'|'.$request->ip());

            return Limit::perMinute(5)->by($throttleKey);
        });
    }

private function configureRateLimiting(): void

{

RateLimiter::for('two-factor', function (Request $request) {

return Limit::perMinute(5)->by($request->session()->get('login.id'));

});

RateLimiter::for('login', function (Request $request) {

$throttleKey = Str::transliterate(Str::lower($request->input(Fortify::username())).'|'.$request->ip());

return Limit::perMinute(5)->by($throttleKey);

});

}

たとえば、次のようにログイン時のレート制限をLimit::perMinute(3) とすれば、1分以内に3回ログイン失敗で「Too Many Requests」 が返されます。

        RateLimiter::for('login', function (Request $request) {
            $throttleKey = Str::transliterate(Str::lower($request->input(Fortify::username())).'|'.$request->ip());

            return Limit::perMinute(3)->by($throttleKey);
        });