[4.2] パスワードの要件を PCI DSS ver4.0 に準拠させる

[nanasess]

概要(Overview・Refs Issue)

パスワードの要件を PCI DSS ver4.0 に準拠させる

方針(Policy)

• 12文字以上
• 数字とアルファベットの両方が含まれること

実装に関する補足(Appendix)

• パスワードフォーマットの正規表現は2系のものを移植
• eccube_default_password も英数字混在12文字以上にする必要がある

テスト（Test)

ユニットテストを追加

相談（Discussion）

マイナーバージョン互換性保持のための制限事項チェックリスト

• 既存機能の仕様変更はありません
• フックポイントの呼び出しタイミングの変更はありません
• フックポイントのパラメータの削除・データ型の変更はありません
• twigファイルに渡しているパラメータの削除・データ型の変更はありません
• Serviceクラスの公開関数の、引数の削除・データ型の変更はありません
• 入出力ファイル(CSVなど)のフォーマット変更はありません

レビュワー確認項目

• 動作確認
• コードレビュー
• E2E/Unit テスト確認(テストの追加・変更が必要かどうか)
• 互換性が保持されているか
• セキュリティ上の問題がないか
  • 権限を超えた操作が可能にならないか
  • 不要なファイルアップロードがないか
  • 外部へ公開されるファイルや機能の追加ではないか
  • テンプレートでのエスケープ漏れがないか

[kiy0taka]

@nanasess こちらもついでに変えておいてもらえると助かります。

ec-cube/src/Eccube/Command/LoadDataFixturesEccubeCommand.php

Line 67 in 92b9393

$login_password = env('ECCUBE_ADMIN_PASS', 'password');

[nanasess]

@kiy0taka テストが password に依存していたので、そのままにしておいたのですが、変更するとしたら password1234 とかでいいですかね？

[kiy0taka]

@nanasess なるほど、ついでぐらいに思ってましたがテストも変えるのは面倒なだけだと思うのでこのままでいきましょう。