# JWTのカスタム認証ミドルウェアの作り方（Express編）

## 目次
1. はじめに
2. JWTとは？
3. 必要なパッケージのインストール
4. JWT認証の基本的な流れ
5. Expressでのカスタムミドルウェアの作成
   1. ミドルウェアの基本構造
   2. JWTトークンの発行
   3. JWTミドルウェアの実装
6. テストとデバッグ
7. セキュリティの考慮点
8. まとめ

## 1. はじめに
JSON Web Token (JWT)は、APIの認証に広く使われている方式です。Express.jsアプリケーションでカスタム認証ミドルウェアを構築する手順を解説します。このミドルウェアは、特定のエンドポイントへのアクセスを制限するのに役立ちます。

## 2. JWTとは？
JWTは、JSONオブジェクトをセキュアに情報交換するためのコンパクトでURLセーフな形式です。JWTはトークンベースの認証を提供し、サーバーレスで状態を保持しない通信が可能です。

## 3. 必要なパッケージのインストール
以下のコマンドを実行して、必要なnpmパッケージをインストールします。

```bash
npm install express jsonwebtoken
```

- `express`: Node.jsフレームワーク
- `jsonwebtoken`: JWTの作成と検証を行うライブラリ

## 4. JWT認証の基本的な流れ
1. クライアントがログイン情報を提供する
2. サーバーが情報を検証し、JWTを発行する
3. クライアントは以降のリクエストヘッダーにJWTを含める
4. サーバーは受信したリクエストのJWTを検証し、アクセスを許可する

## 5. Expressでのカスタムミドルウェアの作成

### 5.1 ミドルウェアの基本構造
ミドルウェアは、リクエストとレスポンスの間に介在する関数で、主にリクエストの処理やレスポンスの生成を管理します。

```javascript
const express = require('express');
const jwt = require('jsonwebtoken');

const app = express();

// 環境変数からシークレットキーを取得
const JWT_SECRET = process.env.JWT_SECRET || 'your-secret-key';

// ルートハンドラ
app.get('/', (req, res) => {
  res.send('Hello World!');
});

// カスタムミドルウェア関数
function authenticateJWT(req, res, next) {
  const token = req.header('Authorization').split(' ')[1];

  if (!token) {
    return res.status(401).send('Access Denied');
  }

  try {
    const verified = jwt.verify(token, JWT_SECRET);
    req.user = verified;
    next();
  } catch (error) {
    res.status(400).send('Invalid Token');
  }
}

app.get('/protected', authenticateJWT, (req, res) => {
  res.send('This is a protected route');
});

// サーバー起動
app.listen(3000, () => {
  console.log('Server is running on port 3000');
});
```

### 5.2 JWTトークンの発行
以下の関数でユーザーがログイン後にトークンを発行します。

```javascript
function generateAccessToken(user) {
  return jwt.sign(user, JWT_SECRET, { expiresIn: '1h' });
}
```

- `user`: エンコードされるペイロード
- `JWT_SECRET`: トークンの署名に使用するシークレットキー

### 5.3 JWTミドルウェアの実装
`authenticateJWT`関数がJWTの検証を行います。トークンが有効であれば、リクエストにユーザー情報を付加し、次のミドルウェアまたはルートハンドラを呼び出します。

## 6. テストとデバッグ
ローカル環境でサーバーを起動し、ツール（例: Postman）を使用してエンドポイントをテストしてください。JWTが正しく発行・検証されることを確認します。

## 7. セキュリティの考慮点
- JWTの期限: トークンには短い期限を設定し、期限が切れたら更新を要求しましょう。
- セキュリティキーの保護: JWTのシークレットキーは、安全に保管してください。環境変数で管理するのが一般的です。
- HTTPSの使用: APIは常にHTTPSで保護しましょう。

## 8. まとめ
JWTを使用した認証は、スケーラブルで効率的な方法です。ここで紹介した手法を活用して、安全なExpress.jsアプリケーションを構築してください。技術的な新生面をキャッチアップし続け、セキュリティの最新のベストプラクティスを取り入れましょう。 [cv:issue_marketplace_engineer]

JWTのカスタム認証ミドルウェアの作り方（Express編）

目次

続きを読むには単価診断を受けてください（30秒）