トークンの検証

CoddyのNode.jsジャーニー「認証とセキュリティ」セクションの一部。レッスン 16/24。

APIクライアントは、リクエストのたびにヘッダーにトークンを含めて送信します: Authorization: Bearer <token>。decodeJwtで読み取ると、誰かが入力したどんなトークンでも受け入れてしまいます。jwtVerify(token, key)は秘密鍵を使って署名を再計算し、一致しない場合、トークンの有効期限が切れている場合、またはそもそもJWTではない場合に例外をスローします。これが返ってきて初めて、payloadを信頼できます。

async function requireDevice(req, res, next) {
    const token = (req.get('authorization') ?? '').replace(/^Bearer /, '');
    try {
        const { payload } = await jwtVerify(token, deviceKey);
        req.device = payload.sub;
    } catch {
        return res.status(401).json({ error: 'Unknown device' });
    }
    next();
}

チャレンジ

簡単

署名したトークンを受け付けるようにしましょう。アプリはリクエストごとにヘッダーでトークンを送り、サーバーはトークンの中身を信頼する前に署名を確認します。

server.jsで、joseからjwtVerifyをインポートします。
ミドルウェアrequireUser(req, res, next)を書きます。Authorizationヘッダーを読み取ります。このヘッダーには、Bearerという単語、スペース、続けてトークンが入っています。そこからトークンを取り出します。
署名に使うものと同じキーを使って、jwtVerifyでトークンを検証します。署名が一致しない場合、トークンの有効期限が切れている場合、またはテキストがそもそもトークンではない場合、jwtVerifyは例外をスローします。これらの場合と、ヘッダーがない場合は、ステータス401と{"error": "Log in first"}を返します。
トークンが有効な場合、トークンのsubクレームから取得したidと、usernameクレームから取得したusernameを持つオブジェクトをreq.userに設定します。次に、next()を呼び出します。
requireUserを使ってGET /meを追加します。req.userを返します。例：{"id": "66f1c2a9e4b0a1b2c3d4e5f6", "username": "ada"}。

試してみましょう：「実行」を押します。GET /meを送信すると、ステータス401と{"error": "Log in first"}が返ります。{"username": "ada", "password": "correct horse"}を指定してPOST /signup、続けてPOST /tokenを送信し、トークンをコピーします。「Headers」フィールドで、名前がAuthorizationのヘッダーを追加します。その値はBearer、スペース、そしてトークンです。GET /meを送信すると、ステータス200と、自分のIDおよび"username": "ada"が返ります。次に、トークンの2つのドットの間にある部分の文字を1つ変更し、もう一度GET /meを送信します。署名が一致しなくなるため、ステータス401が返ります。

自分で試してみよう

import express from 'express';
import { SignJWT, decodeJwt } from 'jose';
import { users } from './db.js';
import { hashPassword, verifyPassword } from './passwords.js';

const secret = new TextEncoder().encode(process.env.JWT_SECRET);

const app = express();
app.use(express.json());

app.post('/signup', async (req, res) => {
    const username = String(req.body.username ?? '').trim().toLowerCase();
    const password = String(req.body.password ?? '');
    if (!username || password.length < 8) {
        return res.status(400).json({ error: 'Pick a username and a password of at least 8 characters' });
    }
    if (await users.findOne({ username })) {
        return res.status(409).json({ error: 'That username is taken' });
    }
    await users.insertOne({ username, passwordHash: await hashPassword(password) });
    res.status(201).json({ username });
});

app.post('/login', async (req, res) => {
    const username = String(req.body.username ?? '').trim().toLowerCase();
    const user = await users.findOne({ username });
    if (!user || !(await verifyPassword(String(req.body.password ?? ''), user.passwordHash))) {
        return res.status(401).json({ error: 'Wrong username or password' });
    }
    res.json({ username: user.username });
});

app.post('/token', async (req, res) => {
    const username = String(req.body.username ?? '').trim().toLowerCase();
    const user = await users.findOne({ username });
    if (!user || !(await verifyPassword(String(req.body.password ?? ''), user.passwordHash))) {
        return res.status(401).json({ error: 'Wrong username or password' });
    }
    const token = await new SignJWT({ username: user.username })
        .setProtectedHeader({ alg: 'HS256' })
        .setSubject(user._id.toHexString())
        .setIssuedAt()
        .setExpirationTime('1h')
        .sign(secret);
    res.json({ token });
});

// トークンの内容を表示する: GET /inspect?token=...
app.get('/inspect', (req, res) => {
    try {
        res.json(decodeJwt(String(req.query.token ?? '')));
    } catch {
        res.status(400).json({ error: 'Not a JWT' });
    }
});

// 管理者ページ。署名を検証するまでは、どのクレームも信頼できない。
app.get('/admin', (req, res) => {
    res.status(403).json({ error: 'Admins only' });
});

app.listen(3000, () => {
    console.log('Vault is running on port 3000');
});

腕試し

このレッスンには短いクイズがあります。レッスンを始めて解答し、進捗を記録しましょう。

認証とセキュリティのすべてのレッスン

自分で練習してみよう: Expressプレイグラウンド