MENU
  1. ホーム
  2. TypeScript
  3. TypeScriptデコレーターで実装する認証と認可の効果的な方法

TypeScriptデコレーターで実装する認証と認可の効果的な方法

TypeScript

TypeScriptのデコレーターは、クラスやメソッドに特定の処理を付加できる強力な機能です。これを活用して、認証（ユーザーの身元確認）や認可（ユーザーが特定の操作を行う権限があるかどうかの確認）を実装することで、コードの再利用性や保守性を高めることが可能です。本記事では、デコレーターの基本的な仕組みから、認証と認可の違い、そして具体的な実装例までを順を追って解説していきます。TypeScriptを用いて堅牢なセキュリティ機能を組み込む方法を学びましょう。

目次
  1. TypeScriptのデコレーターの基本
    1. デコレーターの基本構文
    2. デコレーターの種類
  2. 認証と認可の違い
    1. 認証 (Authentication) とは
    2. 認可 (Authorization) とは
    3. 認証と認可の連携
  3. 認証をデコレーターで実装する方法
    1. 認証デコレーターの基本実装
    2. クラスメソッドへの認証デコレーターの適用例
    3. トークンを使った認証デコレーターの応用
    4. まとめ
  4. 認可をデコレーターで実装する方法
    1. 認可デコレーターの基本実装
    2. クラスメソッドへの認可デコレーターの適用例
    3. 複数のロールを許可する場合
    4. 認可における動的条件の設定
    5. まとめ
  5. ロールベースのアクセス制御 (RBAC) の実装
    1. RBACの基本概念
    2. RBACデコレーターの実装
    3. クラスメソッドへのRBACの適用例
    4. ロールの管理方法
    5. RBACの応用: サブロールの活用
    6. まとめ
  6. 実装の応用例: ユーザーの権限管理
    1. 権限ベースのアクセス制御の実装
    2. クラスメソッドへの権限管理デコレーターの適用例
    3. 複数の権限を要求する場合の実装
    4. 動的な権限管理の実装
    5. まとめ
  7. トークンを使った認証と認可
    1. JWT（JSON Web Token）とは
    2. JWTを使った認証デコレーターの実装
    3. JWTデコレーターの使用例
    4. JWTを使った認可デコレーターの実装
    5. JWT認可デコレーターの使用例
    6. トークンのリフレッシュ機能の実装
    7. まとめ
  8. デコレーターのテスト方法
    1. ユニットテストの基本
    2. デコレーターをテストする際のポイント
    3. JWT認証デコレーターのテスト例
    4. インテグレーションテストの実装
    5. モックライブラリの活用
    6. まとめ
  9. セキュリティ上の注意点
    1. JWTの取り扱い
    2. 権限チェックのバイパス防止
    3. インジェクション攻撃の防止
    4. ブラウザ間のセキュリティ対策
    5. デコレーターの乱用防止
    6. まとめ
  10. 外部ライブラリの活用
    1. Passport.js
    2. Class-validator
    3. RBAC (Role-Based Access Control) のための外部ライブラリ
    4. Helmet for セキュリティ強化
    5. まとめ
  11. まとめ

TypeScriptのデコレーターの基本

デコレーターは、クラスやメソッド、プロパティ、パラメーターに対して、追加の振る舞いを付与するための特別な構文です。TypeScriptでは、デコレーターは主にメタプログラミングを行うために使われ、コードの再利用や可読性を向上させます。基本的に、デコレーターは関数として定義され、対象となるクラスやメソッドの動作を変更することができます。

デコレーターの基本構文

デコレーターは@記号を使って適用されます。以下は、メソッドにデコレーターを適用する例です。

function LogExecution(target: any, propertyKey: string, descriptor: PropertyDescriptor) {
    const originalMethod = descriptor.value;
    descriptor.value = function (...args: any[]) {
        console.log(`Method ${propertyKey} was called with arguments:`, args);
        return originalMethod.apply(this, args);
    };
}

class Example {
    @LogExecution
    greet(name: string) {
        return `Hello, ${name}`;
    }
}

const example = new Example();
example.greet('Alice');

この例では、@LogExecutionというデコレーターがgreetメソッドに追加され、メソッドの実行時に引数をログ出力するように変更されています。

デコレーターの種類

TypeScriptでは、以下の4つの種類のデコレーターがあります。

  1. クラスデコレーター：クラス全体に対して適用され、クラスのインスタンスやプロトタイプに影響を与える。
  2. メソッドデコレーター：クラスのメソッドに適用され、メソッドの動作を変更する。
  3. アクセサデコレーター：プロパティのgetterやsetterに適用される。
  4. プロパティデコレーター：クラスのプロパティに適用され、そのプロパティに関するメタデータを操作する。

デコレーターの基本を理解することで、認証や認可といった高度な機能を実装する準備が整います。

認証と認可の違い

認証と認可は、セキュリティにおいてしばしば混同されやすい概念ですが、それぞれ異なる役割を持っています。認証は「誰」であるかを確認するプロセスであり、認可は「何ができるか」を制御するプロセスです。これらを適切に理解し、区別して実装することが、セキュリティを確保するためには非常に重要です。

認証 (Authentication) とは

認証は、システムがユーザーの身元を確認するプロセスです。例えば、ユーザーがログインする際に、正しいユーザー名とパスワードを入力することで、そのユーザーが本人であることを確認します。他にも、トークンや生体認証（指紋認証、顔認証など）を使用する方法があります。認証の目的は、そのユーザーがシステムにアクセスする資格があるかどうかを判断することです。

認可 (Authorization) とは

認可は、認証されたユーザーがどのリソースにアクセスでき、どの操作を行えるかを制御するプロセスです。認可は、アクセスできる範囲や操作できるリソースの権限を決定します。例えば、管理者だけがデータを削除できる、一般ユーザーは閲覧だけ可能といった具合です。認可のルールは、通常「ロールベースのアクセス制御 (RBAC)」や「属性ベースのアクセス制御 (ABAC)」に基づいて設定されます。

認証と認可の連携

認証が「誰であるか」を確認するのに対して、認可は「何ができるか」を決定します。この2つのプロセスは密接に関連しており、まず認証を通じてユーザーが確認された後、そのユーザーがどの権限を持っているかが認可によって決定されます。

これらの概念を理解することで、次のステップであるデコレーターを使った認証・認可の実装がスムーズに進められます。

認証をデコレーターで実装する方法

デコレーターを使って認証を実装することで、コードの再利用性が高まり、セキュリティ関連の処理を一元化できます。ここでは、TypeScriptのデコレーターを用いて、認証の仕組みを簡潔に実装する方法を解説します。

認証デコレーターの基本実装

認証デコレーターは、リクエストが行われる前にユーザーが認証されているかどうかを確認する役割を持ちます。以下は、シンプルな認証デコレーターの例です。

function IsAuthenticated(target: any, propertyKey: string, descriptor: PropertyDescriptor) {
    const originalMethod = descriptor.value;
    descriptor.value = function (...args: any[]) {
        const user = args[0].user;  // 仮定: リクエストオブジェクトの中にuser情報が含まれている
        if (!user || !user.isAuthenticated) {
            throw new Error('User not authenticated');
        }
        return originalMethod.apply(this, args);
    };
}

このデコレーターは、認証されていないユーザーがアクセスした場合にエラーメッセージをスローし、認証済みの場合にのみ元のメソッドを実行します。この仕組みは、すべてのリクエストで認証をチェックするための標準的な実装となります。

クラスメソッドへの認証デコレーターの適用例

次に、このIsAuthenticatedデコレーターを実際のクラスメソッドに適用してみましょう。

class UserController {
    @IsAuthenticated
    getUserData(request: any) {
        return `User data for ${request.user.name}`;
    }
}

const controller = new UserController();
const mockRequest = { user: { name: 'Alice', isAuthenticated: true } };
console.log(controller.getUserData(mockRequest));  // 認証済みユーザーのデータ取得

ここで、getUserDataメソッドは、IsAuthenticatedデコレーターによって保護されています。このメソッドを呼び出す前に、ユーザーが認証されているかどうかが確認され、認証されていない場合にはエラーが発生します。

トークンを使った認証デコレーターの応用

実際のWebアプリケーションでは、トークンベースの認証が一般的です。以下に、JWT（JSON Web Token）を使った認証デコレーターの例を示します。

import jwt from 'jsonwebtoken';

function VerifyToken(tokenSecret: string) {
    return function (target: any, propertyKey: string, descriptor: PropertyDescriptor) {
        const originalMethod = descriptor.value;
        descriptor.value = function (...args: any[]) {
            const token = args[0].headers.authorization;
            if (!token) {
                throw new Error('Token not provided');
            }
            try {
                const decoded = jwt.verify(token, tokenSecret);
                args[0].user = decoded;
                return originalMethod.apply(this, args);
            } catch (error) {
                throw new Error('Invalid token');
            }
        };
    };
}

このデコレーターは、JWTトークンを検証し、ユーザーが有効なトークンを持っているかどうかをチェックします。認証に成功すると、デコードされたユーザー情報がリクエストに追加され、メソッドが実行されます。

まとめ

デコレーターを使った認証の実装により、コードの保守性が向上し、各メソッドやクラスに一貫した認証処理を適用できます。この方法は、特にセキュリティが重要なWebアプリケーションで効果的です。

認可をデコレーターで実装する方法

認証がユーザーの身元を確認するプロセスであるのに対し、認可はそのユーザーがどのリソースにアクセスし、どの操作を行う権限があるかを制御します。デコレーターを使って認可を実装することで、各メソッドやクラスに対して柔軟かつ再利用可能なアクセス制御を付加できます。ここでは、TypeScriptで認可を実装するデコレーターの具体例を紹介します。

認可デコレーターの基本実装

認可デコレーターは、特定の役割（ロール）を持つユーザーにのみアクセスを許可する場合に有効です。以下に、特定のロールを持つユーザーのみがアクセスできるようにする認可デコレーターを実装します。

function HasRole(allowedRoles: string[]) {
    return function (target: any, propertyKey: string, descriptor: PropertyDescriptor) {
        const originalMethod = descriptor.value;
        descriptor.value = function (...args: any[]) {
            const user = args[0].user;  // 仮定: リクエストオブジェクトの中にuser情報が含まれている
            if (!user || !allowedRoles.includes(user.role)) {
                throw new Error('User not authorized');
            }
            return originalMethod.apply(this, args);
        };
    };
}

このデコレーターは、ユーザーの役割（role）が許可された役割（allowedRoles）に含まれている場合のみ、メソッドの実行を許可します。

クラスメソッドへの認可デコレーターの適用例

次に、実際にこのHasRoleデコレーターをクラスのメソッドに適用してみましょう。

class AdminController {
    @HasRole(['admin'])
    deleteUser(request: any) {
        console.log('User deleted');
    }
}

const adminController = new AdminController();
const mockRequest = { user: { role: 'admin' } };
adminController.deleteUser(mockRequest);  // 管理者のみがこのメソッドを実行可能

この例では、deleteUserメソッドはadminロールを持つユーザーのみが実行できるようになっています。ユーザーのロールが適切でない場合は、エラーメッセージがスローされます。

複数のロールを許可する場合

複数の役割を持つユーザーにアクセスを許可する場合、HasRoleデコレーターに複数のロールを指定できます。例えば、管理者と編集者の両方にアクセス権を与えたい場合は次のようにします。

class ContentController {
    @HasRole(['admin', 'editor'])
    updateContent(request: any) {
        console.log('Content updated');
    }
}

const contentController = new ContentController();
const mockRequest = { user: { role: 'editor' } };
contentController.updateContent(mockRequest);  // 管理者と編集者がメソッドを実行可能

ここでは、adminとeditorの両方の役割を持つユーザーがupdateContentメソッドを実行できるようにしています。これにより、複数のユーザータイプが必要な操作にアクセスできる柔軟な認可を実装できます。

認可における動的条件の設定

さらに、特定の条件に応じた動的な認可が必要な場合もデコレーターを使用して実装可能です。例えば、ユーザーが自分自身のデータにしかアクセスできない場合などです。

function IsOwner(target: any, propertyKey: string, descriptor: PropertyDescriptor) {
    const originalMethod = descriptor.value;
    descriptor.value = function (...args: any[]) {
        const user = args[0].user;
        const dataOwnerId = args[1].ownerId;
        if (user.id !== dataOwnerId) {
            throw new Error('User not authorized to access this resource');
        }
        return originalMethod.apply(this, args);
    };
}

このIsOwnerデコレーターは、ユーザーが自分のデータにのみアクセスできるよう制御します。

まとめ

デコレーターを使った認可の実装は、複雑なアクセス制御をシンプルかつ再利用可能にするために非常に有効です。特定の役割や条件に基づいてユーザーのアクセス権限を制限することで、セキュアなアプリケーションを構築できます。

ロールベースのアクセス制御 (RBAC) の実装

ロールベースのアクセス制御 (RBAC: Role-Based Access Control) は、ユーザーが持つ「ロール」に基づいてアクセス権限を制御する仕組みです。RBACをデコレーターを使って実装することで、ユーザーごとのアクセス制御を効率的に管理できます。ここでは、TypeScriptのデコレーターを活用してRBACを実装する方法を解説します。

RBACの基本概念

RBACは、ユーザーに「ロール」を割り当て、そのロールに基づいてリソースや機能へのアクセスを制御する方式です。例えば、典型的なロールには「管理者 (admin)」、「編集者 (editor)」、「一般ユーザー (user)」が含まれ、それぞれ異なるレベルのアクセス権限を持ちます。

  • 管理者：全ての操作にアクセス可能（ユーザー管理、データ編集など）
  • 編集者：コンテンツの作成・編集にアクセス可能
  • 一般ユーザー：主にコンテンツの閲覧が可能

このように、ロールに基づいた権限を設定することで、柔軟なアクセス制御が可能となります。

RBACデコレーターの実装

RBACを実装するためのデコレーターは、特定のロールを持つユーザーにのみアクセスを許可します。ここでは、ユーザーがアクセス可能なロールをデコレーターで指定し、そのロールに基づいてアクセスを制限する方法を紹介します。

function RolesAllowed(allowedRoles: string[]) {
    return function (target: any, propertyKey: string, descriptor: PropertyDescriptor) {
        const originalMethod = descriptor.value;
        descriptor.value = function (...args: any[]) {
            const user = args[0].user;  // 仮定: リクエストオブジェクトにユーザー情報が含まれている
            if (!user || !allowedRoles.includes(user.role)) {
                throw new Error('Access denied: insufficient permissions');
            }
            return originalMethod.apply(this, args);
        };
    };
}

このRolesAllowedデコレーターは、許可されたロールを持つユーザーにのみアクセスを許可する仕組みを提供します。

クラスメソッドへのRBACの適用例

次に、RolesAllowedデコレーターをクラスメソッドに適用し、各ロールに応じたアクセス制御を行います。

class ArticleController {
    @RolesAllowed(['admin', 'editor'])
    createArticle(request: any) {
        console.log('Article created');
    }

    @RolesAllowed(['admin'])
    deleteArticle(request: any) {
        console.log('Article deleted');
    }

    @RolesAllowed(['admin', 'editor', 'user'])
    viewArticle(request: any) {
        console.log('Article viewed');
    }
}

const controller = new ArticleController();
const adminRequest = { user: { role: 'admin' } };
const editorRequest = { user: { role: 'editor' } };
const userRequest = { user: { role: 'user' } };

controller.createArticle(editorRequest);  // 編集者と管理者は記事を作成可能
controller.deleteArticle(adminRequest);   // 管理者のみ記事を削除可能
controller.viewArticle(userRequest);     // 全てのロールが記事を閲覧可能

ここでは、createArticleメソッドはadminとeditorロールがアクセス可能であり、deleteArticleメソッドはadminのみがアクセスできます。また、viewArticleメソッドはすべてのロール（admin、editor、user）がアクセスできるように設定されています。

ロールの管理方法

RBACの管理は、通常ユーザーごとのロールをデータベースや認証システムで保持し、リクエストに基づいてロールを確認することで行います。ユーザーがリクエストを送る際に、そのユーザーが持つロール情報をリクエストオブジェクトに含め、それをデコレーターで利用することで、動的にロールに基づくアクセス制御が可能です。

RBACの応用: サブロールの活用

RBACはロールごとのアクセス権限を柔軟に拡張することも可能です。例えば、一般ユーザー（user）が追加のサブロール（例えばpremiumUserやguestUser）を持つことで、より細かいアクセス制御を実装することができます。

function HasSubRole(allowedSubRoles: string[]) {
    return function (target: any, propertyKey: string, descriptor: PropertyDescriptor) {
        const originalMethod = descriptor.value;
        descriptor.value = function (...args: any[]) {
            const user = args[0].user;
            if (!user || !allowedSubRoles.includes(user.subRole)) {
                throw new Error('Access denied: insufficient sub-role permissions');
            }
            return originalMethod.apply(this, args);
        };
    };
}

このHasSubRoleデコレーターは、特定のサブロールを持つユーザーにのみアクセスを許可します。

まとめ

ロールベースのアクセス制御 (RBAC) は、デコレーターを活用することでシンプルかつ強力な権限管理システムを構築できます。TypeScriptのデコレーターを用いてRBACを実装することで、コードの再利用性と可読性を向上させつつ、ユーザーのロールに応じた柔軟なアクセス制御を実現できます。

実装の応用例: ユーザーの権限管理

デコレーターを使用した認証と認可の実装は、シンプルなアクセス制御だけでなく、より複雑な権限管理にも応用できます。ここでは、ユーザーごとの権限（例えば、特定のリソースに対する「読み取り」「書き込み」「削除」権限など）をデコレーターを使って管理する方法を具体例とともに紹介します。

権限ベースのアクセス制御の実装

単純なロールベースのアクセス制御だけでなく、ユーザーが特定の操作を行うための細かい権限（読み取り、書き込み、削除など）を管理するケースもあります。以下は、権限に基づいてアクセスを制限するデコレーターの例です。

function HasPermission(requiredPermission: string) {
    return function (target: any, propertyKey: string, descriptor: PropertyDescriptor) {
        const originalMethod = descriptor.value;
        descriptor.value = function (...args: any[]) {
            const user = args[0].user;
            if (!user || !user.permissions.includes(requiredPermission)) {
                throw new Error(`Access denied: Missing required permission - ${requiredPermission}`);
            }
            return originalMethod.apply(this, args);
        };
    };
}

このデコレーターは、ユーザーが特定の権限（requiredPermission）を持っているかをチェックし、権限が不足している場合はエラーメッセージを返します。

クラスメソッドへの権限管理デコレーターの適用例

次に、実際にこのHasPermissionデコレーターを使用して、特定の権限が必要な操作に適用します。

class DocumentController {
    @HasPermission('read')
    readDocument(request: any) {
        console.log('Document read');
    }

    @HasPermission('write')
    writeDocument(request: any) {
        console.log('Document written');
    }

    @HasPermission('delete')
    deleteDocument(request: any) {
        console.log('Document deleted');
    }
}

const controller = new DocumentController();
const mockRequest = { user: { permissions: ['read', 'write'] } };

controller.readDocument(mockRequest);  // 権限があるため成功
controller.writeDocument(mockRequest);  // 権限があるため成功
controller.deleteDocument(mockRequest);  // 権限がないためエラー

この例では、readDocumentとwriteDocumentメソッドはreadおよびwrite権限を持つユーザーに実行を許可しますが、deleteDocumentメソッドはdelete権限がないため実行できません。

複数の権限を要求する場合の実装

複数の権限を同時に要求する場合、デコレーターを少し変更して、複数の必要な権限をチェックすることも可能です。

function HasPermissions(requiredPermissions: string[]) {
    return function (target: any, propertyKey: string, descriptor: PropertyDescriptor) {
        const originalMethod = descriptor.value;
        descriptor.value = function (...args: any[]) {
            const user = args[0].user;
            const hasAllPermissions = requiredPermissions.every(permission => user.permissions.includes(permission));
            if (!user || !hasAllPermissions) {
                throw new Error(`Access denied: Missing one or more required permissions - ${requiredPermissions}`);
            }
            return originalMethod.apply(this, args);
        };
    };
}

このデコレーターは、ユーザーが全ての必要な権限を持っているかを確認します。

class MultiPermissionController {
    @HasPermissions(['read', 'write', 'delete'])
    manageDocument(request: any) {
        console.log('Document managed');
    }
}

const multiController = new MultiPermissionController();
const mockRequest = { user: { permissions: ['read', 'write'] } };

multiController.manageDocument(mockRequest);  // 権限が不足しているためエラー

ここでは、manageDocumentメソッドを実行するために、read、write、deleteのすべての権限が必要ですが、ユーザーが持つ権限が不足しているためエラーとなります。

動的な権限管理の実装

権限管理は動的に変更されることもあります。例えば、特定のリソースに対するユーザーごとの権限を管理する場合、デコレーターでリクエストの詳細に基づいて動的に権限を確認することも可能です。

function HasResourcePermission(resourceKey: string, requiredPermission: string) {
    return function (target: any, propertyKey: string, descriptor: PropertyDescriptor) {
        const originalMethod = descriptor.value;
        descriptor.value = function (...args: any[]) {
            const user = args[0].user;
            const resourcePermissions = user.resourcePermissions[resourceKey] || [];
            if (!resourcePermissions.includes(requiredPermission)) {
                throw new Error(`Access denied: Missing permission for resource - ${requiredPermission}`);
            }
            return originalMethod.apply(this, args);
        };
    };
}

このデコレーターは、ユーザーが特定のリソースに対する権限を持っているかを確認します。例えば、ユーザーが異なるドキュメントに対して異なる権限を持つ場合などです。

まとめ

デコレーターを使った権限管理の実装により、アプリケーションのアクセス制御が簡潔かつ柔軟になります。複数の権限を効率的に管理することができ、システム全体のセキュリティを強化するのに役立ちます。特に複雑な権限体系を持つアプリケーションでは、デコレーターを活用することでコードの読みやすさとメンテナンス性を向上させることができます。

トークンを使った認証と認可

Webアプリケーションにおいて、トークンベースの認証と認可は非常に一般的です。特に、JWT（JSON Web Token）を用いることで、ユーザー認証を効率的に管理し、アクセス制御を強化できます。このセクションでは、TypeScriptでJWTを使った認証と認可の実装方法をデコレーターとともに紹介します。

JWT（JSON Web Token）とは

JWTは、ユーザーの認証情報を安全に保持し、サーバー側での状態管理を不要にするために広く利用されているトークン形式です。JWTはヘッダー、ペイロード、署名の3つの部分で構成されており、これらをまとめて1つのトークンとしてクライアントとサーバー間でやり取りします。

  • ヘッダー：トークンのタイプ（通常はJWT）と署名アルゴリズムの情報
  • ペイロード：ユーザーIDやロールなどの認証情報
  • 署名：トークンの改ざんを防止するための署名

JWTを使った認証デコレーターの実装

JWTを利用した認証では、ユーザーがログイン時にトークンを取得し、そのトークンを使って後続のリクエストでユーザー認証を行います。以下は、JWTを使った認証デコレーターの実装例です。

import jwt from 'jsonwebtoken';

function VerifyJWT(tokenSecret: string) {
    return function (target: any, propertyKey: string, descriptor: PropertyDescriptor) {
        const originalMethod = descriptor.value;
        descriptor.value = function (...args: any[]) {
            const token = args[0].headers.authorization;
            if (!token) {
                throw new Error('No token provided');
            }
            try {
                const decoded = jwt.verify(token.split(' ')[1], tokenSecret);
                args[0].user = decoded; // デコードされたトークン情報をリクエストに付加
                return originalMethod.apply(this, args);
            } catch (error) {
                throw new Error('Invalid token');
            }
        };
    };
}

このデコレーターは、リクエストのヘッダーにあるJWTを検証し、トークンが有効であればデコードされたユーザー情報をリクエストに追加します。無効なトークンであれば、エラーをスローします。

JWTデコレーターの使用例

次に、このVerifyJWTデコレーターを用いて、特定のAPIメソッドをJWT認証で保護します。

class UserController {
    @VerifyJWT('my-secret-key')
    getUserInfo(request: any) {
        return `User info for ${request.user.username}`;
    }
}

const controller = new UserController();
const mockRequest = {
    headers: { authorization: 'Bearer your-jwt-token-here' },
};

console.log(controller.getUserInfo(mockRequest));

このgetUserInfoメソッドは、VerifyJWTデコレーターによってJWT認証を経て実行されます。トークンが有効であれば、ユーザー情報が返され、無効であればエラーとなります。

JWTを使った認可デコレーターの実装

JWTは認証だけでなく、ペイロードにユーザーのロールや権限情報を含めることで認可にも使用できます。以下は、JWTトークン内のロール情報を使った認可デコレーターの例です。

function HasJWTPermission(requiredRole: string) {
    return function (target: any, propertyKey: string, descriptor: PropertyDescriptor) {
        const originalMethod = descriptor.value;
        descriptor.value = function (...args: any[]) {
            const user = args[0].user; // JWTからデコードされたユーザー情報
            if (!user || user.role !== requiredRole) {
                throw new Error('Insufficient permissions');
            }
            return originalMethod.apply(this, args);
        };
    };
}

このデコレーターは、JWTトークンに含まれるrole情報を確認し、指定されたロールを持つユーザーのみがメソッドを実行できるようにします。

JWT認可デコレーターの使用例

HasJWTPermissionデコレーターを使用して、特定のロールを持つユーザーのみがアクセスできるように制御します。

class AdminController {
    @VerifyJWT('my-secret-key')
    @HasJWTPermission('admin')
    deleteUser(request: any) {
        console.log(`User ${request.user.username} deleted`);
    }
}

const adminController = new AdminController();
const mockAdminRequest = {
    headers: { authorization: 'Bearer valid-admin-jwt-token' },
    user: { username: 'adminUser', role: 'admin' },
};

adminController.deleteUser(mockAdminRequest);  // 管理者のみがこのメソッドを実行可能

この例では、deleteUserメソッドは、JWTを持つ管理者ロールのユーザーのみが実行できるように設定されています。認証と認可の両方がデコレーターによって簡潔に処理されています。

トークンのリフレッシュ機能の実装

トークンベースの認証では、トークンの有効期限が設定されているため、期限が切れたトークンを自動的に更新するリフレッシュ機能もよく使用されます。リフレッシュトークンを使った実装では、以下のようなフローが考えられます。

  1. アクセストークン：短期間の認証用トークン
  2. リフレッシュトークン：アクセストークンを更新するためのトークン

リフレッシュトークンの生成と管理は、通常、アクセストークンの発行時にサーバー側で行われ、リフレッシュトークンが有効であれば新しいアクセストークンを発行します。

function RefreshToken(tokenSecret: string, refreshSecret: string) {
    return function (target: any, propertyKey: string, descriptor: PropertyDescriptor) {
        const originalMethod = descriptor.value;
        descriptor.value = function (...args: any[]) {
            const refreshToken = args[0].headers['x-refresh-token'];
            if (!refreshToken) {
                throw new Error('No refresh token provided');
            }
            try {
                const decoded = jwt.verify(refreshToken, refreshSecret);
                const newToken = jwt.sign({ userId: decoded.userId }, tokenSecret, { expiresIn: '1h' });
                args[0].newToken = newToken;  // 新しいアクセストークンを付加
                return originalMethod.apply(this, args);
            } catch (error) {
                throw new Error('Invalid refresh token');
            }
        };
    };
}

このRefreshTokenデコレーターは、リフレッシュトークンを検証し、新しいアクセストークンを生成してリクエストに追加します。

まとめ

トークンベースの認証と認可は、セキュリティが重要なWebアプリケーションにおいて広く利用されており、JWTを使うことで効率的にこれを実現できます。デコレーターを使用することで、認証と認可のロジックをクリーンかつ再利用可能な形で実装できるため、複雑なシステムでも簡潔に管理できます。

デコレーターのテスト方法

デコレーターを使った認証・認可の機能をテストすることは、アプリケーションの信頼性とセキュリティを保証するために重要です。デコレーターが正しく機能しているかどうかを確認するためには、さまざまなユニットテストやインテグレーションテストを実行する必要があります。ここでは、TypeScriptでデコレーターを使った認証・認可のテスト方法を紹介します。

ユニットテストの基本

デコレーター自体は関数として定義されているため、その関数が正しく動作するかどうかをユニットテストで確認できます。たとえば、デコレーターが期待通りに動作しているか、適切なエラーをスローしているかをテストします。ユニットテストフレームワークとしては、JestやMochaがよく使われます。

以下に、Jestを使ったシンプルなデコレーターのユニットテスト例を示します。

import { HasRole } from './decorators';
import { UserController } from './controllers';

describe('HasRole Decorator', () => {
    it('should allow access to users with the correct role', () => {
        const mockRequest = { user: { role: 'admin' } };
        const controller = new UserController();

        const result = controller.deleteUser(mockRequest);
        expect(result).toBe('User deleted');
    });

    it('should deny access to users without the correct role', () => {
        const mockRequest = { user: { role: 'user' } };
        const controller = new UserController();

        expect(() => controller.deleteUser(mockRequest)).toThrow('User not authorized');
    });
});

この例では、HasRoleデコレーターが期待通りに動作しているかを確認するため、deleteUserメソッドを管理者ロールを持つユーザーと一般ユーザーでテストしています。

デコレーターをテストする際のポイント

デコレーターのテストを行う際、いくつかのポイントを考慮する必要があります。

  1. 正常な条件のテスト：
    • デコレーターが期待通りに機能し、正しいロールや権限を持つユーザーがアクセスできるかを確認します。
  2. 異常な条件のテスト：
    • 誤ったロールや権限が不足しているユーザーに対して、デコレーターが正しくエラーをスローするかをテストします。
  3. モックとスタブの使用：
    • ユニットテストでは、デコレーターの処理をシンプルにテストするため、ユーザーやリクエストのモックオブジェクトを使うことが一般的です。これにより、外部依存性を排除し、デコレーターの機能そのものを検証できます。

JWT認証デコレーターのテスト例

JWTを使った認証デコレーターもテストが可能です。JWTトークンが有効な場合と無効な場合の両方をテストすることで、トークンの検証が正しく行われていることを確認できます。

import { VerifyJWT } from './decorators';
import jwt from 'jsonwebtoken';

jest.mock('jsonwebtoken');

describe('VerifyJWT Decorator', () => {
    it('should allow access with a valid token', () => {
        const mockRequest = { headers: { authorization: 'Bearer valid-token' } };
        const decodedToken = { username: 'testUser' };
        (jwt.verify as jest.Mock).mockReturnValue(decodedToken);

        const controller = new UserController();
        const result = controller.getUserInfo(mockRequest);
        expect(result).toBe('User info for testUser');
    });

    it('should deny access with an invalid token', () => {
        const mockRequest = { headers: { authorization: 'Bearer invalid-token' } };
        (jwt.verify as jest.Mock).mockImplementation(() => { throw new Error('Invalid token'); });

        const controller = new UserController();
        expect(() => controller.getUserInfo(mockRequest)).toThrow('Invalid token');
    });
});

このテストでは、JWTトークンを検証するデコレーターVerifyJWTのテストを行っています。jsonwebtokenモジュールをモック化し、トークンが有効か無効かのシナリオをテストしています。

インテグレーションテストの実装

ユニットテストだけでは、実際の動作を完全に確認できない場合があります。そのため、認証・認可のデコレーターを含むエンドツーエンドのフローを確認するために、インテグレーションテストを実行することが重要です。例えば、実際のリクエストがサーバーに到達し、デコレーターが期待通りの動作を行うかをテストします。

インテグレーションテストでは、以下のようなテストを行います。

  • 実際にHTTPリクエストをシミュレートし、JWT認証が機能しているかを確認する
  • さまざまなロールや権限を持つユーザーがAPIエンドポイントにアクセスできるかを確認する

モックライブラリの活用

デコレーターのテストでは、ユーザー情報やリクエストオブジェクトをモックすることが重要です。Jestなどのモック機能を活用することで、外部依存性を取り除き、特定の状況に合わせた動作を確認できます。

まとめ

デコレーターを使った認証・認可の機能をテストすることは、アプリケーションのセキュリティを保証するために不可欠です。ユニットテストやインテグレーションテストを活用し、正常なシナリオと異常なシナリオの両方をカバーすることで、デコレーターが期待通りに動作していることを確認できます。テストはモックやスタブを活用することで効率的に実施でき、堅牢な認証・認可機能を確保できます。

セキュリティ上の注意点

デコレーターを使って認証や認可を実装する際には、セキュリティ上のリスクを適切に管理することが非常に重要です。特にWebアプリケーションでは、セキュリティの不備がシステム全体に影響を及ぼす可能性があるため、注意深い実装が求められます。このセクションでは、デコレーターによる認証・認可におけるセキュリティ上の注意点をいくつか解説します。

JWTの取り扱い

JWT（JSON Web Token）を使用する場合、トークンの取り扱いに細心の注意を払う必要があります。以下は、JWT使用時に気を付けるべきポイントです。

  1. トークンの署名検証
    JWTは署名によってトークンの改ざんを防止しますが、必ずサーバー側でトークンの署名が正しく検証されることを確認します。署名が検証されないと、攻撃者がトークンの内容を改ざんし、不正なアクセスを行う可能性があります。
  2. 有効期限の設定
    トークンには必ず有効期限（exp）を設定し、期限切れトークンを無効にする仕組みを取り入れることが重要です。無期限のトークンはセキュリティリスクを高めます。
  3. 安全なストレージ
    トークンはクライアント側で安全に保管する必要があります。トークンが漏洩すると、攻撃者に不正利用される可能性があるため、ブラウザではlocalStorageやsessionStorageの代わりにHttpOnly属性のクッキーにトークンを保存することが推奨されます。

権限チェックのバイパス防止

認可において、ユーザーが適切な権限を持っていない場合は、必ずアクセスを拒否するロジックを実装します。特に次のような点に注意が必要です。

  1. 信頼できるデータソースの使用
    認可の判断は、信頼できるサーバー側のデータ（たとえばデータベースや認証サービス）に基づいて行う必要があります。クライアント側で判断するのは非常に危険です。
  2. 完全なチェック
    特定のアクション（例えば削除や更新）に対する認可チェックをすべてのエントリポイントで行うことを確認してください。一部のエントリポイントで認可チェックが欠落すると、そのルートを通じて不正アクセスが可能になります。

インジェクション攻撃の防止

ユーザーからの入力やリクエストは慎重に扱い、インジェクション攻撃（SQLインジェクションやクロスサイトスクリプティング（XSS））を防止する必要があります。

  1. 入力の検証とサニタイズ
    ユーザーからの入力データやパラメータをそのまま使用するのではなく、必ず検証し、必要に応じてサニタイズを行います。特に、デコレーターでユーザーの権限やデータを操作する際には、信頼できる形式かどうかを確認します。
  2. エラーメッセージの慎重な扱い
    不正なアクセスに対するエラーメッセージは、攻撃者にシステムの内部構造を教えてしまうことがあるため、詳細すぎないエラーメッセージを返すことが重要です。「権限がありません」というようなシンプルなメッセージに留め、内部的な例外情報やスタックトレースを外部に漏らさないようにします。

ブラウザ間のセキュリティ対策

認証・認可に関連するAPIを公開する場合、特にブラウザ間の攻撃から守るためにCORS（Cross-Origin Resource Sharing）ポリシーを正しく設定することが重要です。適切に設定しないと、他のドメインから不正なリクエストが行われるリスクがあります。

  1. CORSの厳格な設定
    信頼できるオリジン（ドメイン）からのリクエストのみを許可するようにCORSを設定します。すべてのオリジンからのアクセスを許可すると、脆弱性の温床となる可能性があります。
  2. CSRF（クロスサイトリクエストフォージェリ）の防止
    トークンやクッキーを利用する場合、CSRF攻撃に対して脆弱である可能性があります。これを防ぐためには、CSRFトークンを使用したり、SameSite属性をStrictまたはLaxに設定することが推奨されます。

デコレーターの乱用防止

デコレーターを使った認証・認可は便利ですが、過度に使用すると、コードの読みやすさや保守性が低下する可能性があります。必要以上に多くのデコレーターを使うと、認証や認可ロジックが複雑になり、セキュリティホールを作り出す可能性があります。

まとめ

デコレーターを使った認証・認可の実装では、セキュリティ上の細部に注意を払うことが重要です。JWTの安全な取り扱いや権限チェックの強化、インジェクション攻撃の防止など、セキュリティ上のベストプラクティスを守ることで、安全で信頼性の高いシステムを構築することができます。

外部ライブラリの活用

デコレーターを使った認証や認可の実装は、ゼロからコーディングすることも可能ですが、外部ライブラリを活用することで効率的かつ安全に実装することができます。ここでは、TypeScriptで利用できる認証・認可向けの外部ライブラリを紹介し、その活用方法を解説します。

Passport.js

Passport.jsはNode.js向けの柔軟でモジュール化された認証ライブラリです。多くの戦略（認証方式）をサポートしており、OAuth、JWT、Local認証など、幅広い認証方式を統合するのに役立ちます。TypeScriptで使用する場合も、簡単に導入可能です。

Passport.jsの導入方法

まず、Passport.jsと必要なモジュールをインストールします。

npm install passport passport-jwt jsonwebtoken

次に、JWTを使った認証を実装します。

import passport from 'passport';
import { Strategy as JwtStrategy, ExtractJwt } from 'passport-jwt';

const opts = {
    jwtFromRequest: ExtractJwt.fromAuthHeaderAsBearerToken(),
    secretOrKey: 'your-secret-key',
};

passport.use(
    new JwtStrategy(opts, (jwt_payload, done) => {
        // ユーザーの認証処理
        if (jwt_payload) {
            return done(null, jwt_payload);
        } else {
            return done(null, false);
        }
    })
);

このように、Passport.jsを使用することで、JWT認証を簡単に設定できます。Passportのミドルウェアを使って認証が行われ、セキュリティが強化されます。

Class-validator

認証や認可の前に、ユーザーからのリクエストデータを検証することは重要です。class-validatorはTypeScriptのデコレーターを活用して、データの検証を簡単に行うことができるライブラリです。

Class-validatorの導入方法

まず、class-validatorをインストールします。

npm install class-validator

次に、デコレーターを使った入力データのバリデーションを行います。

import { IsString, IsNotEmpty, validate } from 'class-validator';

class LoginRequest {
    @IsString()
    @IsNotEmpty()
    username: string;

    @IsString()
    @IsNotEmpty()
    password: string;
}

const request = new LoginRequest();
request.username = 'user1';
request.password = '';

validate(request).then(errors => {
    if (errors.length > 0) {
        console.log('Validation failed:', errors);
    } else {
        console.log('Validation succeeded');
    }
});

このライブラリを使うことで、認証に必要な入力データが適切かどうかを効率的に検証できます。

RBAC (Role-Based Access Control) のための外部ライブラリ

RBACを管理する際、caslというライブラリが役立ちます。caslはアクセス制御のルールを定義し、それに基づいてアクセスを許可または拒否するシンプルで強力なツールです。

CASLの導入方法

まず、caslをインストールします。

npm install @casl/ability

次に、ユーザーのロールに基づいてアクセス制御を行います。

import { Ability, AbilityBuilder } from '@casl/ability';

function defineAbilitiesFor(role: string) {
    const { can, cannot, build } = new AbilityBuilder(Ability);

    if (role === 'admin') {
        can('manage', 'all');  // 管理者は全ての操作が可能
    } else {
        can('read', 'Article');  // 一般ユーザーは記事の閲覧のみ
    }

    return build();
}

const userAbility = defineAbilitiesFor('user');

if (userAbility.can('delete', 'Article')) {
    console.log('User can delete articles');
} else {
    console.log('User cannot delete articles');
}

この例では、caslを使ってロールに基づいたアクセス制御が簡単に実装でき、特定のアクション（例えば、記事の削除）が許可されているかどうかを確認できます。

Helmet for セキュリティ強化

認証・認可に関連して、アプリケーションのセキュリティを強化するためにhelmetを導入することも重要です。helmetは、HTTPヘッダーを適切に設定することで、XSS攻撃やクリックジャッキングなどの一般的な攻撃を防ぐためのライブラリです。

Helmetの導入方法

まず、helmetをインストールします。

npm install helmet

次に、アプリケーションにミドルウェアとして適用します。

import helmet from 'helmet';
import express from 'express';

const app = express();
app.use(helmet());

// ルート定義
app.get('/', (req, res) => {
    res.send('Hello World!');
});

app.listen(3000);

これにより、アプリケーションのセキュリティが向上し、一般的な脅威から保護されます。

まとめ

外部ライブラリを活用することで、認証・認可の実装はよりシンプルかつセキュアになります。Passport.js、class-validator、casl、そしてhelmetなどのライブラリを適切に組み合わせることで、効率的に開発を進めつつ、堅牢なセキュリティを提供することが可能です。これらのツールを活用し、TypeScriptでの開発をより強力なものにしましょう。

まとめ

TypeScriptのデコレーターを使って認証と認可を実装することで、コードの再利用性や保守性が向上します。本記事では、デコレーターの基本から始まり、認証と認可の違い、JWTを使った認証・認可、そしてRBACの実装方法まで解説しました。さらに、外部ライブラリを活用することで、開発の効率化とセキュリティの向上が可能になります。これらの技術を活用して、より堅牢でセキュアなアプリケーションを構築しましょう。

TypeScript
認証 認可 TypeScript デコレーター

コメント

コメントする

目次
  1. TypeScriptのデコレーターの基本
    1. デコレーターの基本構文
    2. デコレーターの種類
  2. 認証と認可の違い
    1. 認証 (Authentication) とは
    2. 認可 (Authorization) とは
    3. 認証と認可の連携
  3. 認証をデコレーターで実装する方法
    1. 認証デコレーターの基本実装
    2. クラスメソッドへの認証デコレーターの適用例
    3. トークンを使った認証デコレーターの応用
    4. まとめ
  4. 認可をデコレーターで実装する方法
    1. 認可デコレーターの基本実装
    2. クラスメソッドへの認可デコレーターの適用例
    3. 複数のロールを許可する場合
    4. 認可における動的条件の設定
    5. まとめ
  5. ロールベースのアクセス制御 (RBAC) の実装
    1. RBACの基本概念
    2. RBACデコレーターの実装
    3. クラスメソッドへのRBACの適用例
    4. ロールの管理方法
    5. RBACの応用: サブロールの活用
    6. まとめ
  6. 実装の応用例: ユーザーの権限管理
    1. 権限ベースのアクセス制御の実装
    2. クラスメソッドへの権限管理デコレーターの適用例
    3. 複数の権限を要求する場合の実装
    4. 動的な権限管理の実装
    5. まとめ
  7. トークンを使った認証と認可
    1. JWT（JSON Web Token）とは
    2. JWTを使った認証デコレーターの実装
    3. JWTデコレーターの使用例
    4. JWTを使った認可デコレーターの実装
    5. JWT認可デコレーターの使用例
    6. トークンのリフレッシュ機能の実装
    7. まとめ
  8. デコレーターのテスト方法
    1. ユニットテストの基本
    2. デコレーターをテストする際のポイント
    3. JWT認証デコレーターのテスト例
    4. インテグレーションテストの実装
    5. モックライブラリの活用
    6. まとめ
  9. セキュリティ上の注意点
    1. JWTの取り扱い
    2. 権限チェックのバイパス防止
    3. インジェクション攻撃の防止
    4. ブラウザ間のセキュリティ対策
    5. デコレーターの乱用防止
    6. まとめ
  10. 外部ライブラリの活用
    1. Passport.js
    2. Class-validator
    3. RBAC (Role-Based Access Control) のための外部ライブラリ
    4. Helmet for セキュリティ強化
    5. まとめ
  11. まとめ