fix: レート制限メッセージを6回目の試行時に表示するよう修正

5回失敗後、6回目の試行時点でレート制限メッセージを表示するよう変更。
これまでは6回失敗後の7回目の試行で初めてメッセージが表示されていたため、
ユーザーが「7回目の入力が間違っていたからロックされた」と誤解する可能性があった。

- email_count >= 6 → >= 5 に変更
- ip_count >= 11 → >= 10 に変更
- PHPUnit/E2Eテストの境界値を調整

Co-Authored-By: Claude Opus 4.5 <[email protected]>

Author: nobuhiko

data/class/helper/SC_Helper_LoginRateLimit.php

@@ -40,8 +40,8 @@ class SC_Helper_LoginRateLimit
      * ログイン試行失敗が制限を超えていないか確認します。
      *
      * レート制限ルール:
-     * - 同一メールアドレス: 1時間に5回まで失敗を許可（6回目でブロック）
-     * - 同一IPアドレス: 1時間に10回まで失敗を許可（11回目でブロック）
+     * - 同一メールアドレス: 1時間に5回まで失敗を許可（6回目の試行でブロック＆メッセージ表示）
+     * - 同一IPアドレス: 1時間に10回まで失敗を許可（11回目の試行でブロック＆メッセージ表示）
      *
      * セキュリティ考慮事項:
      * - アカウント列挙攻撃対策: 存在しないメールアドレスも同様にレート制限
@@ -71,7 +71,7 @@ public static function checkRateLimit($login_id, $ip_address)
             [$login_id]
         );
 
-        if ($email_count >= 6) {
+        if ($email_count >= 5) {
             return [
                 'allowed' => false,
                 'reason' => 'email',
@@ -87,7 +87,7 @@ public static function checkRateLimit($login_id, $ip_address)
             [$ip_address]
         );
 
-        if ($ip_count >= 11) {
+        if ($ip_count >= 10) {
             return [
                 'allowed' => false,
                 'reason' => 'ip',

e2e-tests/test/front_guest/login_error.test.ts

@@ -161,23 +161,23 @@ test.describe.serial('ログインエラー表示とレート制限のテスト
       await page.goto('/mypage/login.php');
     });
 
-    await test.step('6回連続でログインに失敗します', async () => {
-      for (let i = 0; i < 6; i++) {
+    await test.step('5回連続でログインに失敗します', async () => {
+      for (let i = 0; i < 5; i++) {
         await page.locator('#login_mypage input[name="login_email"]').fill(rateLimitEmail);
         await page.locator('#login_mypage input[name="login_pass"]').fill('wrongpassword');
         await page.locator('#login_mypage input[type="image"][name="log"]').click();
 
         // AJAX処理完了を待つためエラーメッセージが表示されるまで待機
         await page.locator('#undercolumn_login #login_error_area').waitFor({ state: 'visible', timeout: 10000 });
 
-        // 6回目まではメールアドレスベースのエラーまたはIPベースのレート制限エラー
+        // 5回目まではメールアドレスベースのエラーまたはIPベースのレート制限エラー
         const errorText = await page.locator('#undercolumn_login #login_error_area').textContent();
         // いずれかのエラーメッセージが表示されていればOK
         expect(errorText).toMatch(/メールアドレスもしくはパスワードが正しくありません|短時間に複数のログイン試行が検出されました/);
       }
     });
 
-    await test.step('7回目の試行でレート制限エラーが表示されます', async () => {
+    await test.step('6回目の試行でレート制限エラーが表示されます', async () => {
       await page.locator('#login_mypage input[name="login_email"]').fill(rateLimitEmail);
       await page.locator('#login_mypage input[name="login_pass"]').fill('wrongpassword');
 

tests/class/helper/SC_Helper_LoginRateLimit/SC_Helper_LoginRateLimitTest.php

@@ -55,58 +55,58 @@ public function testCheckRateLimitWithinEmailLimitReturnsAllowed()
         $email = '[email protected]';
         $ip = '192.168.1.1';
 
-        // 4回の失敗を記録
-        for ($i = 0; $i < 4; $i++) {
+        // 3回の失敗を記録（制限よりも十分に少ない）
+        for ($i = 0; $i < 3; $i++) {
             SC_Helper_LoginRateLimit_Ex::recordLoginAttempt($email, $ip, 'TestAgent', 0);
         }
 
         $result = SC_Helper_LoginRateLimit_Ex::checkRateLimit($email, $ip);
 
         $this->assertTrue($result['allowed']);
-        $this->assertEquals(4, $result['email_count']);
+        $this->assertEquals(3, $result['email_count']);
     }
 
     /**
      * Test checkRateLimit at email limit boundary
      *
-     * メールアドレスのレート制限境界値（5回）の場合、allowedを返す
+     * メールアドレスのレート制限境界値（4回）の場合、allowedを返す（5回目の試行まで許可）
      */
     public function testCheckRateLimitAtEmailLimitBoundaryReturnsAllowed()
     {
         $email = '[email protected]';
         $ip = '192.168.1.1';
 
-        // 5回の失敗を記録
-        for ($i = 0; $i < 5; $i++) {
+        // 4回の失敗を記録（5回目の試行まで許可、6回目でブロック）
+        for ($i = 0; $i < 4; $i++) {
             SC_Helper_LoginRateLimit_Ex::recordLoginAttempt($email, $ip, 'TestAgent', 0);
         }
 
         $result = SC_Helper_LoginRateLimit_Ex::checkRateLimit($email, $ip);
 
         $this->assertTrue($result['allowed']);
-        $this->assertEquals(5, $result['email_count']);
+        $this->assertEquals(4, $result['email_count']);
     }
 
     /**
      * Test checkRateLimit exceeds email limit
      *
-     * メールアドレスのレート制限超過（6回以上）の場合、blockedを返す
+     * メールアドレスのレート制限超過（5回以上）の場合、blockedを返す（6回目の試行でブロック）
      */
     public function testCheckRateLimitExceedsEmailLimitReturnsBlocked()
     {
         $email = '[email protected]';
         $ip = '192.168.1.1';
 
-        // 6回の失敗を記録
-        for ($i = 0; $i < 6; $i++) {
+        // 5回の失敗を記録（6回目の試行でブロック）
+        for ($i = 0; $i < 5; $i++) {
             SC_Helper_LoginRateLimit_Ex::recordLoginAttempt($email, $ip, 'TestAgent', 0);
         }
 
         $result = SC_Helper_LoginRateLimit_Ex::checkRateLimit($email, $ip);
 
         $this->assertFalse($result['allowed']);
         $this->assertEquals('email', $result['reason']);
-        $this->assertEquals(6, $result['email_count']);
+        $this->assertEquals(5, $result['email_count']);
     }
 
     /**
@@ -118,56 +118,56 @@ public function testCheckRateLimitWithinIPLimitReturnsAllowed()
     {
         $ip = '192.168.1.1';
 
-        // 9回の失敗を異なるメールアドレスで記録
-        for ($i = 0; $i < 9; $i++) {
+        // 8回の失敗を異なるメールアドレスで記録（制限よりも十分に少ない）
+        for ($i = 0; $i < 8; $i++) {
             SC_Helper_LoginRateLimit_Ex::recordLoginAttempt("test{$i}@example.com", $ip, 'TestAgent', 0);
         }
 
         $result = SC_Helper_LoginRateLimit_Ex::checkRateLimit('[email protected]', $ip);
 
         $this->assertTrue($result['allowed']);
-        $this->assertEquals(9, $result['ip_count']);
+        $this->assertEquals(8, $result['ip_count']);
     }
 
     /**
      * Test checkRateLimit at IP limit boundary
      *
-     * IPアドレスのレート制限境界値（10回）の場合、allowedを返す
+     * IPアドレスのレート制限境界値（9回）の場合、allowedを返す
      */
     public function testCheckRateLimitAtIPLimitBoundaryReturnsAllowed()
     {
         $ip = '192.168.1.1';
 
-        // 10回の失敗を異なるメールアドレスで記録
-        for ($i = 0; $i < 10; $i++) {
+        // 9回の失敗を異なるメールアドレスで記録（10回目の試行まで許可）
+        for ($i = 0; $i < 9; $i++) {
             SC_Helper_LoginRateLimit_Ex::recordLoginAttempt("test{$i}@example.com", $ip, 'TestAgent', 0);
         }
 
         $result = SC_Helper_LoginRateLimit_Ex::checkRateLimit('[email protected]', $ip);
 
         $this->assertTrue($result['allowed']);
-        $this->assertEquals(10, $result['ip_count']);
+        $this->assertEquals(9, $result['ip_count']);
     }
 
     /**
      * Test checkRateLimit exceeds IP limit
      *
-     * IPアドレスのレート制限超過（11回以上）の場合、blockedを返す
+     * IPアドレスのレート制限超過（10回以上）の場合、blockedを返す（11回目の試行でブロック）
      */
     public function testCheckRateLimitExceedsIPLimitReturnsBlocked()
     {
         $ip = '192.168.1.1';
 
-        // 11回の失敗を異なるメールアドレスで記録
-        for ($i = 0; $i < 11; $i++) {
+        // 10回の失敗を異なるメールアドレスで記録（11回目の試行でブロック）
+        for ($i = 0; $i < 10; $i++) {
             SC_Helper_LoginRateLimit_Ex::recordLoginAttempt("test{$i}@example.com", $ip, 'TestAgent', 0);
         }
 
         $result = SC_Helper_LoginRateLimit_Ex::checkRateLimit('[email protected]', $ip);
 
         $this->assertFalse($result['allowed']);
         $this->assertEquals('ip', $result['reason']);
-        $this->assertEquals(11, $result['ip_count']);
+        $this->assertEquals(10, $result['ip_count']);
     }
 
     /**