mirror of https://github.com/tiangolo/fastapi.git
274 lines
14 KiB
Markdown
274 lines
14 KiB
Markdown
# パスワード（およびハッシュ化）によるOAuth2、JWTトークンによるBearer { #oauth2-with-password-and-hashing-bearer-with-jwt-tokens }
|
||
|
||
これでセキュリティの流れが全てわかったので、<abbr title="JSON Web Tokens">JWT</abbr>トークンと安全なパスワードのハッシュ化を使用して、実際にアプリケーションを安全にしてみましょう。
|
||
|
||
このコードは、アプリケーションで実際に使用したり、パスワードハッシュをデータベースに保存するといった用途に利用できます。
|
||
|
||
本章では、前章の続きから始めて、コードをアップデートしていきます。
|
||
|
||
## JWT について { #about-jwt }
|
||
|
||
JWTとは「JSON Web Tokens」の略称です。
|
||
|
||
JSONオブジェクトをスペースのない長く密集した文字列で表現したトークンの仕様です。例えば次のようになります：
|
||
|
||
```
|
||
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c
|
||
```
|
||
|
||
これらは暗号化されていないので、誰でもコンテンツから情報を復元できてしまいます。
|
||
|
||
しかし、トークンは署名されているため、あなたが発行したトークンを受け取った人は、あなたが実際に発行したということを検証できます。
|
||
|
||
例えば、1週間の有効期限を持つトークンを作成したとします。ユーザーが翌日そのトークンを持って戻ってきたとき、そのユーザーはまだシステムにログインしていることがわかります。
|
||
|
||
1週間後、トークンが期限切れとなるとどうなるでしょうか？ユーザーは認可されず、新しいトークンを得るために再びサインインしなければなりません。また、ユーザー（または第三者）がトークンを修正して有効期限を変更しようとした場合、署名が一致しないため、トークンの修正を検知できます。
|
||
|
||
JWT トークンを使って遊んでみたいという方は、<a href="https://jwt.io/" class="external-link" target="_blank">https://jwt.io</a> をチェックしてください。
|
||
|
||
## `PyJWT` のインストール { #install-pyjwt }
|
||
|
||
PythonでJWTトークンの生成と検証を行うために、`PyJWT`をインストールする必要があります。
|
||
|
||
[仮想環境](../../virtual-environments.md){.internal-link target=_blank}を作成し、アクティベートしてから、`pyjwt`をインストールしてください。
|
||
|
||
<div class="termy">
|
||
|
||
```console
|
||
$ pip install pyjwt
|
||
|
||
---> 100%
|
||
```
|
||
|
||
</div>
|
||
|
||
/// info | 情報
|
||
|
||
RSAやECDSAのようなデジタル署名アルゴリズムを使用する予定がある場合は、cryptographyライブラリの依存関係`pyjwt[crypto]`をインストールしてください。
|
||
|
||
詳細は<a href="https://pyjwt.readthedocs.io/en/latest/installation.html" class="external-link" target="_blank">PyJWT Installation docs</a>で確認できます。
|
||
|
||
///
|
||
|
||
## パスワードのハッシュ化 { #password-hashing }
|
||
|
||
「ハッシュ化」とは、あるコンテンツ（ここではパスワード）を、規則性のないバイト列（単なる文字列）に変換することです。
|
||
|
||
特徴として、全く同じ内容（全く同じパスワード）を渡すと、全く同じ規則性のないバイト列に変換されます。
|
||
|
||
しかし、規則性のないバイト列から元のパスワードに戻すことはできません。
|
||
|
||
### パスワードのハッシュ化を使う理由 { #why-use-password-hashing }
|
||
|
||
データベースが盗まれても、ユーザーの平文のパスワードは盗まれず、ハッシュ値だけが盗まれます。
|
||
|
||
したがって、泥棒はそのパスワードを別のシステムで使えません（多くのユーザーはどこでも同じパスワードを使用しているため、危険性があります）。
|
||
|
||
## `pwdlib` のインストール { #install-pwdlib }
|
||
|
||
pwdlib は、パスワードのハッシュを処理するための優れたPythonパッケージです。
|
||
|
||
このパッケージは、多くの安全なハッシュアルゴリズムとユーティリティをサポートします。
|
||
|
||
推奨されるアルゴリズムは「Argon2」です。
|
||
|
||
[仮想環境](../../virtual-environments.md){.internal-link target=_blank}を作成し、アクティベートしてから、Argon2付きでpwdlibをインストールしてください。
|
||
|
||
<div class="termy">
|
||
|
||
```console
|
||
$ pip install "pwdlib[argon2]"
|
||
|
||
---> 100%
|
||
```
|
||
|
||
</div>
|
||
|
||
/// tip | 豆知識
|
||
|
||
`pwdlib`を使用すると、**Django**や**Flask**のセキュリティプラグインなどで作成されたパスワードを読み取れるように設定できます。
|
||
|
||
例えば、Djangoアプリケーションからデータベース内の同じデータをFastAPIアプリケーションと共有できるだけではなく、同じデータベースを使用してDjangoアプリケーションを徐々に移行することもできます。
|
||
|
||
また、ユーザーはDjangoアプリまたは**FastAPI**アプリからも、同時にログインできるようになります。
|
||
|
||
///
|
||
|
||
## パスワードのハッシュ化と検証 { #hash-and-verify-the-passwords }
|
||
|
||
必要なツールを `pwdlib`からインポートします。
|
||
|
||
推奨設定でPasswordHashインスタンスを作成します。これは、パスワードのハッシュ化と検証に使用されます。
|
||
|
||
/// tip | 豆知識
|
||
|
||
pwdlibはbcryptハッシュアルゴリズムもサポートしていますが、レガシーアルゴリズムは含みません。古いハッシュを扱うには、passlibライブラリを使用することが推奨されます。
|
||
|
||
例えば、この機能を使用して、別のシステム（Djangoなど）によって生成されたパスワードを読み取って検証し、Argon2やBcryptなどの別のアルゴリズムを使用して新しいパスワードをハッシュするといったことができます。
|
||
|
||
そして、同時にそれらはすべてに互換性があります。
|
||
|
||
///
|
||
|
||
ユーザーから送られてきたパスワードをハッシュ化するユーティリティー関数を作成します。
|
||
|
||
また、受け取ったパスワードが保存されているハッシュと一致するかどうかを検証するユーティリティも作成します。
|
||
|
||
さらに、ユーザーを認証して返す関数も作成します。
|
||
|
||
{* ../../docs_src/security/tutorial004_an_py310.py hl[8,49,56:57,60:61,70:76] *}
|
||
|
||
/// note | 備考
|
||
|
||
新しい（偽の）データベース`fake_users_db`を確認すると、ハッシュ化されたパスワードが次のようになっていることがわかります：`"$argon2id$v=19$m=65536,t=3,p=4$wagCPXjifgvUFBzq4hqe3w$CYaIb8sB+wtD+Vu/P4uod1+Qof8h+1g7bbDlBID48Rc"`。
|
||
|
||
///
|
||
|
||
## JWTトークンの取り扱い { #handle-jwt-tokens }
|
||
|
||
インストールした複数のモジュールをインポートします。
|
||
|
||
JWTトークンの署名に使用されるランダムな秘密鍵を生成します。
|
||
|
||
安全なランダム秘密鍵を生成するには、次のコマンドを使用します：
|
||
|
||
<div class="termy">
|
||
|
||
```console
|
||
$ openssl rand -hex 32
|
||
|
||
09d25e094faa6ca2556c818166b7a9563b93f7099f6f0f4caa6cf63b88e8d3e7
|
||
```
|
||
|
||
</div>
|
||
|
||
そして、出力された文字列を変数`SECRET_KEY`にコピーします。（例に記載している秘密鍵は実際に使用しないでください）
|
||
|
||
JWTトークンの署名に使用するアルゴリズム`"HS256"`を指定した変数`ALGORITHM`を作成します。
|
||
|
||
トークンの有効期限を指定した変数を作成します。
|
||
|
||
レスポンスのトークンエンドポイントで使用するPydanticモデルを定義します。
|
||
|
||
新しいアクセストークンを生成するユーティリティ関数を作成します。
|
||
|
||
{* ../../docs_src/security/tutorial004_an_py310.py hl[4,7,13:15,29:31,79:87] *}
|
||
|
||
## 依存関係の更新 { #update-the-dependencies }
|
||
|
||
`get_current_user`を更新して、先ほどと同じトークンを受け取るようにしますが、今回はJWTトークンを使用します。
|
||
|
||
受け取ったトークンをデコードして検証し、現在のユーザーを返します。
|
||
|
||
トークンが無効な場合は、すぐにHTTPエラーを返します。
|
||
|
||
{* ../../docs_src/security/tutorial004_an_py310.py hl[90:107] *}
|
||
|
||
## `/token` *path operation* の更新 { #update-the-token-path-operation }
|
||
|
||
トークンの有効期限を表す`timedelta`を作成します。
|
||
|
||
実際のJWTアクセストークンを作成し、それを返します。
|
||
|
||
{* ../../docs_src/security/tutorial004_an_py310.py hl[118:133] *}
|
||
|
||
### JWTの「subject」`sub` についての技術的な詳細 { #technical-details-about-the-jwt-subject-sub }
|
||
|
||
JWTの仕様では、トークンのsubjectを表すキー`sub`があるとされています。
|
||
|
||
使用するかどうかは任意ですが、`sub`はユーザーの識別情報を入れるように規定されているので、ここで使用します。
|
||
|
||
JWTは、ユーザーを識別して、そのユーザーがAPI上で直接操作を実行できるようにする以外にも、他の用途で使用されることがあります。
|
||
|
||
例えば、「車」や「ブログ記事」を識別することができます。
|
||
|
||
そして、「ドライブ」（車の場合）や「編集」（ブログの場合）など、そのエンティティに関する権限も追加できます。
|
||
|
||
また、JWTトークンをユーザー（またはボット）に渡すことができます。ユーザーは、JWTトークンを使用するだけで、アカウントを持っていなくても、APIが生成したJWTトークンを使ってそれらの行動（車の運転、ブログ投稿の編集）を実行できるのです。
|
||
|
||
これらのアイデアを使用すると、JWTをより高度なシナリオに使用できます。
|
||
|
||
しかしながら、それらのエンティティのいくつかが同じIDを持つ可能性があります。例えば、`foo`（ユーザー`foo`、車 `foo`、ブログ投稿`foo`）などです。
|
||
|
||
IDの衝突を回避するために、ユーザーのJWTトークンを作成するとき、subキーの値にプレフィックスを付けることができます（例えば、`username:`）。したがって、この例では、`sub`の値は次のようになっている可能性があります：`username:johndoe`。
|
||
|
||
覚えておくべき重要なことは、`sub`キーはアプリケーション全体で一意の識別子を持ち、文字列である必要があるということです。
|
||
|
||
## 確認 { #check-it }
|
||
|
||
サーバーを実行し、ドキュメントに移動します：<a href="http://127.0.0.1:8000/docs" class="external-link" target="_blank">http://127.0.0.1:8000/docs</a>。
|
||
|
||
次のようなユーザーインターフェイスが表示されます：
|
||
|
||
<img src="/img/tutorial/security/image07.png">
|
||
|
||
前回と同じ方法でアプリケーションの認可を行います。
|
||
|
||
次の認証情報を使用します：
|
||
|
||
Username: `johndoe`
|
||
Password: `secret`
|
||
|
||
/// check | 確認
|
||
|
||
コードのどこにも平文のパスワード"`secret`"はなく、ハッシュ化されたものしかないことを確認してください。
|
||
|
||
///
|
||
|
||
<img src="/img/tutorial/security/image08.png">
|
||
|
||
エンドポイント`/users/me/`を呼び出すと、次のようなレスポンスが得られます：
|
||
|
||
```JSON
|
||
{
|
||
"username": "johndoe",
|
||
"email": "johndoe@example.com",
|
||
"full_name": "John Doe",
|
||
"disabled": false
|
||
}
|
||
```
|
||
|
||
<img src="/img/tutorial/security/image09.png">
|
||
|
||
開発者ツールを開くと、送信されるデータにはトークンだけが含まれており、パスワードはユーザーを認証してアクセストークンを取得する最初のリクエストでのみ送信され、その後は送信されないことがわかります：
|
||
|
||
<img src="/img/tutorial/security/image10.png">
|
||
|
||
/// note | 備考
|
||
|
||
ヘッダーの`Authorization`には、`Bearer `で始まる値があります。
|
||
|
||
///
|
||
|
||
## `scopes` を使った高度なユースケース { #advanced-usage-with-scopes }
|
||
|
||
OAuth2には、「スコープ」という概念があります。
|
||
|
||
これらを利用して、JWTトークンに特定の権限セットを追加することができます。
|
||
|
||
そして、このトークンをユーザーに直接、または第三者に与えて、制限付きでAPIを操作できます。
|
||
|
||
これらの使用方法や**FastAPI**への統合方法については、**高度なユーザーガイド**で後ほど説明します。
|
||
|
||
## まとめ { #recap }
|
||
|
||
ここまでの説明で、OAuth2やJWTなどの規格を使った安全な**FastAPI**アプリケーションを設定することができます。
|
||
|
||
ほとんどのフレームワークにおいて、セキュリティを扱うことは非常に複雑な課題となります。
|
||
|
||
簡略化しすぎたパッケージの多くは、データモデルやデータベース、利用可能な機能について多くの妥協をしなければなりません。そして、あまりにも単純化されたパッケージの中には、実はセキュリティ上の欠陥があるものもあります。
|
||
|
||
---
|
||
|
||
**FastAPI**は、どのようなデータベース、データモデル、ツールに対しても妥協することはありません。
|
||
|
||
そのため、プロジェクトに合わせて自由に選択することができます。
|
||
|
||
また、**FastAPI**は外部パッケージを統合するために複雑な仕組みを必要としないため、`pwdlib`や`PyJWT`のようなよく整備され広く使われている多くのパッケージを直接使用することができます。
|
||
|
||
しかし、柔軟性、堅牢性、セキュリティを損なうことなく、可能な限りプロセスを簡素化するためのツールを提供します。
|
||
|
||
また、OAuth2のような安全で標準的なプロトコルを比較的簡単な方法で使用できるだけではなく、実装することもできます。
|
||
|
||
OAuth2の「スコープ」を使って、同じ基準でより細かい権限システムを実現する方法については、**高度なユーザーガイド**で詳しく説明しています。スコープ付きのOAuth2は、Facebook、Google、GitHub、Microsoft、X (Twitter)など、多くの大手認証プロバイダが、サードパーティのアプリケーションと自社のAPIとのやり取りをユーザーに代わって認可するために使用している仕組みです。
|