質問: ユーザーをユーザーの名前+パスワードで管理しようと考えています。 データベースにユーザーの名前とパスワードを保存し、それを使ってログインするのはセキュリティ上駄目なことなのでしょうか。 作ろうとしているサービスはお金に関連することは全くなく、不正ログインをするメリットもなく、不正ログインされても特に困ることもないのですが、それでも単純にデータベースにパスワードを保存することは絶対にやってはいけないのでしょうか。
回答: だめです。 そもそもその程度のサイトであれば、パスワード不要にしましょう。 多くの人は、同じIDとパスワードを使い回しています(そうするなと、注意されていますが)ので、 あなたのサイトから流出したIDとパスワードで、別の重要なサイトにログインされて損失が出た場合、原因があなたのサイトからの流出だと判明すれば、「通常行うべき防御策を行っていなかった」ということで、過失があったと言うことで責任を問われ、損害賠償を求められてもおかしくありません。 「通常行うべき防御策」をきちんとやっていれば、少なくとも過失は無いです。