なぜニュースで「XX社の会員データ流出」が頻発するのか？

データベースの構築やJOINを使ったレポート生成を学んだあなたは、もう無敵だと感じ、クライアント向けに会員システムのあるウェブサイトを開発しようとしているかもしれません。

待ってください！

もしこの段階で、usersテーブルにpasswordというカラムを追加し、ユーザーのパスワード（例：123456やiloveyou）を**平文（Plain Text）**のまま保存してしまうと、ソフトウェアエンジニアリング界で最も深刻で許されないセキュリティ禁忌を犯すことになります！

想像してみてください。もしデータベースがハッカーに侵入されたり、内部の従業員（あるいは退職したエンジニア）がこのusersテーブルを覗き見したらどうなるでしょう。彼らはすべての会員のパスワードを直接見ることができます。さらに恐ろしいことに、約80%の人は、あなたのサイトで使っているパスワードとGmail、Facebook、銀行口座のパスワードが全く同じです。一度あなたのサイトから情報が漏洩すると、ハッカーはこのパスワードを使って彼のすべてのネット資産を乗っ取ることができます。

これが、データベースに「平文パスワード」を保存してはならない理由です。

パスワードの魔法：一方向ハッシュ関数（Hash Function）

この問題を解決するため、世界中の情報セキュリティ専門家は**「一方向ハッシュ（One-way Hash）」**という超魔法を発明しました。

その仕組みは次の通りです：会員が登録時に123456というパスワードを入力すると、あなたのサイトプログラム（Node.jsやPythonなど）はそれを直接データベースに保存しません。代わりに、プログラムはこのパスワードを「超強力ミキサー（Hash Function、一般的なアルゴリズムにはbcryptやSHA-256がある）」に投入して粉砕します。

粉砕後、出てくるのは60文字の無意味な文字列、例えば： $2b$12$eKx/n1Q1...

この時、この文字列だけをデータベースに保存します。

なぜ「一方向」なのか？

このミキサーは不可逆だからです。世界最高のハッカーがこの$2b$12$eKx/n...文字列を盗んだとしても、どんな数学的公式を使っても元の123456に戻すことはできません。（リンゴジュースを元のリンゴに戻せないのと同じです）。

では、次回ログイン時にどうやってパスワードを確認するのか？

会員が再度サイトに訪れ、123456を入力してログインしようとする時：

あなたのサイトは再びそのミキサーを起動し、新しく入力された123456を粉砕します。
ミキサーの設計上、「同じリンゴからは全く同じジュースができる」ようになっています。
あなたのサイトは単に比較します：この新しく作られたジュースと、データベースに保存されているジュースが完全に一致するか？
一致すれば、パスワードが正しいと判断し、ログインを許可します！

このプロセス全体を通じて、データベースは会員の実際のパスワードを知ることはありません。これが現代の認証（Authentication）の絶対的な鉄則です。

実践：Vibe CodingでBcryptパスワード暗号化を実装

もしこのミキサーを一から作ろうとするなら、深い暗号学と数学の知識が必要です。しかしVibe Codingの世界では、たった一言で済みます。

Node.js/ExpressでバックエンドAPIを開発している場合、Cursorでこの呪文を唱えてください：

【会員登録と暗号化Prompt】 会員登録APIを開発中です。登録ロジックを処理するfunctionを書いてください。フロー：

フロントエンドから送信されるemailとpasswordを受け取る。

bcryptパッケージを使用し、パスワードにsaltを加え（salt roundsは10）、Hash暗号化を行う。

暗号化された文字列とemailをPostgreSQLのusersテーブルに書き込む。

完全なTry-Catchエラーハンドリングを付け、Bcryptの動作原理を日本語コメントで説明してください。

AIが生成した神レベルの安全なコード：

const bcrypt = require('bcrypt');
const db = require('./db'); // データベース接続モジュールと仮定

async function registerUser(email, plainPassword) {
  try {
    // ステップ1: ソルトの強度設定（Salt Rounds）。数値が大きいほど安全だが処理が遅い。10が業界標準。
    const saltRounds = 10;
    
    // ステップ2: 平文パスワードをミキサーで粉砕！これは非同期操作で、暗号化された文字列を返す。
    const hashedPassword = await bcrypt.hash(plainPassword, saltRounds);

    // ステップ3: 「暗号化された文字列」のみをデータベースに保存。平文パスワードは絶対に保存しない！
    const insertQuery = 'INSERT INTO users (email, password_hash) VALUES ($1, $2) RETURNING id';
    const result = await db.query(insertQuery, [email, hashedPassword]);

    console.log(`登録成功！ユーザーID: ${result.rows[0].id}`);
    return { success: true, message: '会員登録が成功しました' };

  } catch (error) {
    console.error('登録処理中にエラーが発生:', error);
    return { success: false, message: '登録に失敗しました' };
  }
}

このAIが書いたコードは、業界で最も厳しいセキュリティ基準に完全に準拠しています！仮にデータベースがハッカーに丸ごとコピーされたとしても、ハッカーは$2b$12...といった文字列を前にして泣くことになるでしょう。

JWT（JSON Web Token）：ログイン後の通行証

会員がミキサーでパスワードの照合に成功し、無事ログインした後、次に何が起こるでしょうか？

会員が毎回ページをクリックするたび（例えばショッピングカートやプロフィール閲覧時）、再度パスワードを入力させるのでしょうか？もちろん違います。会員がログインに成功した瞬間、あなたのサーバーは会員に**「VIPデジタルパス」を発行します。このパスは現代のウェブ開発で最も主流な技術であるJWT（JSON Web Token）**と呼ばれています。

このパスはブラウザのどこか（LocalStorageやCookieなど）にひっそりと保存されます。その後、会員がサイトにリクエストを送るたび（例えば「私のショッピングカートを見たい」）、ブラウザは自動的にこのパスをリクエストに添えて送信します。サーバーはこのパスが本物か（偽造されていないか、期限切れでないか）を確認するだけで、すぐに通過を許可し、ショッピングカートのデータを会員に返します。

Vibe Codingの実戦では、JWTの文字列を自分で組み立てる必要はありません。

【Vibe呪文ヒント】: 「jsonwebtokenパッケージを使用し、ログイン認証のMiddlewareを実装してください。ログイン成功後、有効期限7日のJWTトークンを発行します。」

ハッシュによるパスワード保護とJWTによるパス発行。この2つのセキュリティ防壁は、すべての商用フルスタックアプリケーションの基盤です。しかし次の最終章では、Supabase特有の究極の防御兵器であるRLS（行レベルセキュリティ）を紹介します。これはあなたのデータベースセキュリティに対する認識を根本から変えるでしょう！