OAuth 実装

目次

• 概要
• 使用タイミング
• クイックスタート
• リファレンスガイド
• ベストプラクティス

概要

業界標準の OAuth 2.0 および OpenID Connect 認証フロー、JWT トークン、リフレッシュトークン、セキュアなセッション管理を実装します。

使用タイミング

• ユーザー認証システム
• サードパーティ API 統合
• シングルサインオン (SSO) 実装
• モバイルアプリ認証
• マイクロサービスのセキュリティ
• ソーシャルログイン統合

クイックスタート

最小限の動作例:

// oauth-server.js - OAuth 2.0 の完全な実装
const express = require("express");
const jwt = require("jsonwebtoken");
const crypto = require("crypto");
const bcrypt = require("bcrypt");

class OAuthServer {
  constructor() {
    this.app = express();
    this.clients = new Map();
    this.authorizationCodes = new Map();
    this.refreshTokens = new Map();
    this.accessTokens = new Map();

    // JWT 署名キー
    this.privateKey = process.env.JWT_PRIVATE_KEY;
    this.publicKey = process.env.JWT_PUBLIC_KEY;

    this.setupRoutes();
  }

  // OAuth クライアント登録
  registerClient(clientId, clientSecret, redirectUris) {
    this.clients.set(clientId, {
      clientSecret: bcrypt.hashSync(clientSecret, 10),
// ... (完全な実装についてはリファレンスガイドを参照)

リファレンスガイド

references/ ディレクトリ内の詳細な実装:

ベストプラクティス

✅ やること

• パブリッククライアント向けに PKCE を使用する
• トークンローテーションを実装する
• トークンを安全に保存する
• すべての場面で HTTPS を使用する
• リダイレクト URI を検証する
• レート制限を実装する
• 短命なアクセストークンを使用する
• 認証イベントをログに記録する

❌ やらないこと

• localStorage にトークンを保存する
• Implicit フローを使用する
• state パラメータをスキップする
• クライアントシークレットを露出させる
• オープンリダイレクトを許可する
• 弱い署名キーを使用する