セッション管理

目次

• 概要
• いつ使うか
• クイックスタート
• リファレンスガイド
• ベストプラクティス

概要

セキュアなトークンハンドリング、セッション永続化、トークンリフレッシュメカニズム、適切なログアウト手順、およびCSRF保護を備えた包括的なセッション管理システムを、異なるバックエンドフレームワークで実装します。

いつ使うか

• ユーザー認証システムを実装する場合
• セッション状態とユーザーコンテキストを管理する場合
• JWTトークンのリフレッシュサイクルを処理する場合
• ログアウト機能を実装する場合
• CSRF攻撃から保護する場合
• セッションの有効期限切れと クリーンアップを管理する場合

クイックスタート

最小限の動作例:

# Python/Flask Example
from flask import current_app
from datetime import datetime, timedelta
import jwt
import os

class TokenManager:
    def __init__(self, secret_key=None):
        self.secret_key = secret_key or os.getenv('JWT_SECRET')
        self.algorithm = 'HS256'
        self.access_token_expires_hours = 1
        self.refresh_token_expires_days = 7

    def generate_tokens(self, user_id, email, role='user'):
        """Generate both access and refresh tokens"""
        now = datetime.utcnow()

        # Access token
        access_payload = {
            'user_id': user_id,
            'email': email,
            'role': role,
            'type': 'access',
            'iat': now,
            'exp': now + timedelta(hours=self.access_token_expires_hours)
// ... (see reference guides for full implementation)

リファレンスガイド

references/ ディレクトリの詳細な実装:

ガイド	内容
JWT トークン生成と検証	JWT トークン生成と検証
Node.js/Express JWT 実装	Node.js/Express JWT 実装
Redis を使用したセッションストレージ	Redis を使用したセッションストレージ
CSRF 保護	CSRF 保護
セッションミドルウェアチェーン	セッションミドルウェアチェーン
トークンリフレッシュエンドポイント	トークンリフレッシュエンドポイント
セッションクリーンアップとメンテナンス	セッションクリーンアップとメンテナンス

ベストプラクティス

✅ すべきこと

• すべてのセッション転送に HTTPS を使用する
• セキュアクッキー (httpOnly、sameSite、secure フラグ) を実装する
• 適切な有効期限を持つ JWT を使用する
• トークンリフレッシュメカニズムを実装する
• リフレッシュトークンを安全に保存する
• すべてのリクエストでトークンを検証する
• 強力なシークレットキーを使用する
• セッションタイムアウトを実装する
• 認証イベントをログに記録する
• ログアウト時にセッションデータをクリアする
• ステート変更リクエストに CSRF トークンを使用する

❌ すべきではないこと

• トークンに機密データを保存する
• 短いシークレットキーを使用する
• URL でトークンを転送する
• トークンの有効期限を無視する
• 環境全体でトークンシークレットを再利用する
• localStorage にトークンを保存する (httpOnly クッキーを使用する)
• HTTPS なしでセッションを実装する
• トークン署名の検証を忘れる
• ログにセッション ID を公開する
• 予測可能なセッション ID を使用する