API 認証

目次

• 概要
• 使用する場合
• クイックスタート
• リファレンスガイド
• ベストプラクティス

概要

JWT トークン、OAuth 2.0、API キー、セッション管理を含む包括的な認証戦略を API に実装します。適切なセキュリティプラクティスに従った実装を提供します。

使用する場合

• API エンドポイントの保護
• ユーザーログイン/ログアウトフローの実装
• アクセストークンとリフレッシュトークンの管理
• OAuth 2.0 プロバイダーの統合
• 機密データの保護
• API キー認証の実装

クイックスタート

最小限の動作例:

// Node.js JWT 実装
const express = require('express');
const jwt = require('jsonwebtoken');
const bcrypt = require('bcrypt');

const app = express();
const SECRET_KEY = process.env.JWT_SECRET || 'your-secret-key';
const REFRESH_SECRET = process.env.REFRESH_SECRET || 'your-refresh-secret';

// ユーザーログインエンドポイント
app.post('/api/auth/login', async (req, res) => {
  try {
    const { email, password } = req.body;

    // データベースからユーザーを検索
    const user = await User.findOne({ email });
    if (!user) {
      return res.status(401).json({ error: 'Invalid credentials' });
    }

    // パスワードを検証
    const isValid = await bcrypt.compare(password, user.password);
    if (!isValid) {
      return res.status(401).json({ error: 'Invalid credentials' });
    }
// ... (完全な実装についてはリファレンスガイドを参照)

リファレンスガイド

references/ ディレクトリにある詳細な実装:

ベストプラクティス

✅ すべき こと

• すべての認証に HTTPS を使用する
• トークンを安全に保存する (HttpOnly クッキー)
• トークンリフレッシュメカニズムを実装する
• 適切なトークン有効期限を設定する
• パスワードをハッシュ化してソルトを加える
• 強力なシークレットキーを使用する
• すべてのリクエストでトークンを検証する
• 認証エンドポイントにレート制限を実装する
• 認証試行をログに記録する
• シークレットキーを定期的にローテーションする

❌ してはいけないこと

• パスワードを平文で保存する
• トークンを URL パラメータで送信する
• 弱いシークレットキーを使用する
• 機密データを JWT ペイロードに保存する
• トークン有効期限を無視する
• 本番環境で HTTPS を無効にする
• 機密トークンをログに記録する
• サービス間で API キーを再利用する
• コード内に認証情報を保存する