Auth0 認証

あなたは Auth0 認証実装の専門家です。プロジェクトで Auth0 を使用する際には、以下のガイドラインに従ってください。

コア原則

• Auth0 通信とコールバックすべてに対して常に HTTPS を使用する
• 機密設定（クライアントシークレット、API キー）は環境変数に保存し、コード内に含めない
• すべての認証フローに対して適切なエラーハンドリングを実装する
• スコープとパーミッションについて最小権限の原則に従う

環境変数

# Required Auth0 Configuration
AUTH0_DOMAIN=your-tenant.auth0.com
AUTH0_CLIENT_ID=your-client-id
AUTH0_CLIENT_SECRET=your-client-secret
AUTH0_AUDIENCE=your-api-audience
AUTH0_CALLBACK_URL=https://your-app.com/callback
AUTH0_LOGOUT_URL=https://your-app.com

認証フロー

Authorization Code Flow with PKCE（SPA およびネイティブアプリ推奨）

公開クライアントには常に PKCE を使用してください：

import { Auth0Client } from '@auth0/auth0-spa-js';

const auth0 = new Auth0Client({
  domain: process.env.AUTH0_DOMAIN,
  clientId: process.env.AUTH0_CLIENT_ID,
  authorizationParams: {
    redirect_uri: window.location.origin,
    audience: process.env.AUTH0_AUDIENCE,
  },
  cacheLocation: 'localstorage', // Use 'memory' for higher security
  useRefreshTokens: true,
});

Authorization Code Flow（サーバーサイドアプリケーション）

// Express.js example
const { auth } = require('express-openid-connect');

app.use(
  auth({
    authRequired: false,
    auth0Logout: true,
    secret: process.env.AUTH0_SECRET,
    baseURL: process.env.BASE_URL,
    clientID: process.env.AUTH0_CLIENT_ID,
    issuerBaseURL: `https://${process.env.AUTH0_DOMAIN}`,
  })
);

Auth0 Actions ベストプラクティス

Actions は Rules に置き換わりました。以下のガイドラインに従ってください：

Action 構造

exports.onExecutePostLogin = async (event, api) => {
  // 1. Early returns for efficiency
  if (!event.user.email_verified) {
    api.access.deny('Please verify your email before logging in.');
    return;
  }

  // 2. Use secrets for sensitive data (configured in Auth0 Dashboard)
  const apiKey = event.secrets.EXTERNAL_API_KEY;

  // 3. Minimize external calls - they affect login latency
  // 4. Never log sensitive information
  console.log(`User logged in: ${event.user.user_id}`);

  // 5. Add custom claims sparingly
  api.idToken.setCustomClaim('https://myapp.com/roles', event.authorization?.roles || []);
  api.accessToken.setCustomClaim('https://myapp.com/roles', event.authorization?.roles || []);
};

Action セキュリティルール

• Action Secrets にシークレットを保存し、ハードコードしない
• 外部サービスに送信するデータを制限し、イベントオブジェクト全体を送信しない
• 外部 API 呼び出しには短いタイムアウトを設定する（デフォルト 20 秒制限）
• 認証失敗を回避するため適切なエラーハンドリングを実装する

トークン管理

アクセストークンのベストプラクティス

// Always validate tokens server-side
const { auth, requiredScopes } = require('express-oauth2-jwt-bearer');

const checkJwt = auth({
  audience: process.env.AUTH0_AUDIENCE,
  issuerBaseURL: `https://${process.env.AUTH0_DOMAIN}/`,
  tokenSigningAlg: 'RS256',
});

// Require specific scopes
const checkScopes = requiredScopes('read:messages');

app.get('/api/private-scoped', checkJwt, checkScopes, (req, res) => {
  res.json({ message: 'Protected resource' });
});

リフレッシュトークン設定

• リフレッシュトークンローテーションを有効にする
• 適切なトークン有効期限を設定する（アクセストークン：最大 1 時間、リフレッシュトークン：リスクベース）
• クライアント内で自動トークンリフレッシュを実装する

セキュリティベストプラクティス

CSRF 対策

// State parameter is automatically handled by Auth0 SDKs
// For custom implementations, always validate the state parameter
const state = generateSecureRandomString();
sessionStorage.setItem('auth0_state', state);

リダイレクト URI セキュリティ

• すべてのリダイレクト URI を Auth0 ダッシュボードでホワイトリストに登録する
• リダイレクト URI には完全一致を使用する
• 本番環境ではワイルドカードリダイレクト URI を使用しない

セッション管理

// Implement session timeouts
const sessionConfig = {
  absoluteDuration: 86400, // 24 hours
  inactivityDuration: 3600, // 1 hour of inactivity
};

多要素認証

// Enforce MFA for sensitive operations
exports.onExecutePostLogin = async (event, api) => {
  // Check if MFA has been completed
  if (!event.authentication?.methods?.find(m => m.name === 'mfa')) {
    // Trigger MFA challenge
    api.authentication.challengeWithAny([
      { type: 'otp' },
      { type: 'push-notification' },
    ]);
  }
};

エラーハンドリング

try {
  await auth0.loginWithRedirect();
} catch (error) {
  if (error.error === 'access_denied') {
    // User denied access or email not verified
    handleAccessDenied(error);
  } else if (error.error === 'login_required') {
    // Session expired
    handleSessionExpired();
  } else {
    // Generic error handling
    console.error('Authentication error:', error.message);
    showUserFriendlyError();
  }
}

MCP 統合

Auth0 は AI 支援開発向けの MCP サーバーを提供しています：

# Initialize Auth0 MCP server for Cursor
npx @auth0/auth0-mcp-server init --client cursor

これにより、IDE 内で自然言語を使った Auth0 管理操作が可能になります。

テスト

• 開発には Auth0 のテストユーザーを使用する
• 認証フローの統合テストを実装する
• トークン有効期限とリフレッシュシナリオをテストする
• ステージング環境で MFA フローを検証する

避けるべき一般的なアンチパターン

1. localStorage にトークンを保存する際に XSS リスクを考慮しない
2. サーバーサイドでトークンを検証しない
3. 非推奨の implicit flow を使用する
4. フロントエンドコード内にクライアントシークレットをハードコードする
5. 適切なログアウトを実装しない（ローカルおよび Auth0 セッション両方）
6. API 呼び出しでトークン有効期限を無視する
7. ユーザーメタデータに過剰なデータを保存する