REST APIなどを開発すると、避けては通れないものに認証があります。 最近はOAuth2 Providerを実装することが多いのですが、発行するアクセストークンにJSON Web Token（JWT）を利用しています。 JWTは名前の通り、RFC7519によって定義されたスキーマを持つJSONです。 JSONの各キーとして、RFCで定義されている標準的なキーと値のペア（Claim）を取ることにより、標準的な取り扱いが可能になります。 本記事では、JWTのClaimについて、OAuth2 Providerでのアクセストークンを発行する立場から、備忘録的にまとめたいと思います。 なお、JWTにはJOSE Headerのような、Claimとは別の仕様も含まれていますが、本記事ではClaimのみを対象とします。 アクセストークンとしてJWTを利用することの利点 JWTは単なるJSONのため、ア
2020.10.01に公開 2020.10.09に更新 Udemy 12. サーバーサイドのログイン認証 No.4 / 8 今回達成すること JWT（以下、トークン）を検証し、正しければ発行主のユーザーを返すAuthenticatorモジュールを作成します。 モジュールで作成したメソッドは、Railsコントローラーのbefore_actionで読み込みます。 これにより、ログインユーザーしかアクセスできないコントローラーアクションを作成することができます。 モジュールファイルを作成する モジュールファイルは、前回作成した「services/user_auth」ディレクトリ内に作成します。 authenticator.rbを作成しましょう。 root $ touch api/app/services/user_auth/authenticator.rb UserAuthを継承したモジュールを
2020.10.01に公開 2021.06.09に更新 Udemy 12. サーバーサイドのログイン認証 No.2 / 8 今回達成すること 今回は、ログイン認証の流れを理解し、JWTの実装に入ります。 JWTの初期設定ファイルを作成するところまでをゴールとしましょう。 ログイン認証機能の参考 ここで紹介するログイン機能は、RailsAPIでJWT認証が実装できるGem knockを参考にしています。 Knockは2016年から更新が止まっており、Rails6には対応しなくなりました。（非公式版は2020年も更新あり） そこで今回は、Knockのコードを参考に1からログイン認証を手作りします。 JWTを使ったログイン認証の流れ 今回実装するログイン認証では、以下の手順で認証が行われます。 1. クライアントからログイン情報を投げる まず初めにNuxt.jsからログインに必要な メールアドレ
解決する課題 従来のWebアプリケーションでは、認証情報をCookiesを利用して保持し、ログイン状態を保つことを実現しています。 APIではブラウザを介さないことからCookiesを使用したセッションの保持は行えないため、認証時に生成したトークンを用いて認証済み（ログイン状態）であることを表現できます。 JSON Web Tokenの利用 認証時に生成するトークンは慣例通りJSON Web Token（JWT)を利用します。 Railsでは"jwt"というGemがあるので、簡単に扱うことができます。 アプリケーションによりますが、controller/concernsに認証用モジュールを設け、そこにJWT関連の処理をまとめて記載すると扱いやすいです。 暗号化・復号化の実装 手始めに、暗号化・復号化の実装例は下記のようになります。 app/controller/concerns下に作成して
背景 以前、vue.js × Rails APIでのSPA開発に挑戦しました。その際、認証にJWTを使ったのですが、ネットの記事を参考に実装したために仕組みやコードを完全に理解できていませんでした。そのためJWTの認証について改めて記事にしてまとめたいと思いました。railsでvue,reactなどと連携させてSPA開発したい方は参考になるかと思います。 #目次 JWTについて JWTで認証をする流れ 実際のrailsコード解説 vue.jsとの連携 1. JWTについて ###■JWTとはなにか JWTとはJSON Web Tokenの略で、JSON形式で表されたトークンです。著名・暗号化によってセキュアな通信ができます。 ###■JWTの中身 JWTは下記のうようにピリオド区切りで３つの要素に分かれています。 ①のヘッダー要素は、データの型やルールを指定します。 ②のペイロード要素には
このチャプターで達成すること チャプター「サーバーサイドのログイン認証」では、RailsにJWTを使ったログイン認証機能を実装します。 具体的には、ログイン時にJWTをCookieに保存し、アクセス時にはそのJWTが有効であるかを検証する機能です。 まずはJWTとはなんぞや?というところから見ていきましょう。 今回達成すること 今回はJWTをゼロから理解します。 RailsにGem jwtをインストールして、トークンの発行とトークンの検証を行います。 この記事を通して、JWTの使い方、メリット、注意点を理解していきましょう。 JWT認証とは? JWT（ジョット）とは、「JSON Web Token（ジェイソン ウェブ トークン）」の略で、2つのパーティー間で情報を安全に送信するための方法です。 その実態は、JSONオブジェクトをエンコードした文字列で、この文字列をトークンと呼びます。 ey
JSON Web Token (JWT) draft-ietf-oauth-json-web-token-11 Abstract JSON Web Token (JWT) は2者間でやりとりされるコンパクトで URL-safe なクレームの表現方法である. JWT に含まれるクレームは JavaScript Object Notation (JSON) オブジェクトとしてエンコードされ, JSON Web Signature (JWS) のペイロードや JSON Web Encryption (JWE) の平文として利用される. JWS や JWE とともに用いることで, クレームに対してデジタル署名や MAC を付与と暗号化の両方を行うことが可能となる. JWT の推奨される発音は, 英単語の "jot" と同じである. Status of this Memo This Internet
ruby-jwtのエンコードメソッドについて ruby-jwtのエンコードメソッドであるJWT.encodeの引数の意味は以下の通りです。 たとえば第3引数にRS256（SHA-256アルゴリズムを利用したRSA）を指定した場合、第2引数にはRSA暗号の秘密鍵をセットします。 第3引数にnone（署名やMAC値を利用しない）を指定した場合、noneではパスワードが不要なため第2引数にはnilをセットします。 なおアルゴリズムの動的な選択は脆弱性につながるため、第3引数はハードコードで記述することが推奨されています。1 ruby-jwtのデコードメソッドについて ruby-jwtのデコードメソッドであるJWT.decodeの引数の意味は以下の通りです。 たとえばRS256アルゴリズムを利用したJWTをデコードする場合、第2引数にはRSA暗号の公開鍵（あるいは秘密鍵）を指定し、第4引数には{
ちょっと前に業務で JWE について調べ物をしたので、その際の資料を改稿して Qiita に放流します。 JWE とは JSON Web Encryption (JWE) とは、暗号化したデータを、復号に必要なメタデータとあわせて JSON 形式でパッケージするデータ表現形式です。また、 AEAD による完全性（改竄耐性）保証の機能も持ちます。仕様は IETF により RFC 化されています。 JWE は、メッセージを署名とパッケージして改竄耐性を保証する JSON Web Signature (JWS) や、パーティ間で認証トークンを交換するための JSON Web Token (JWT) などを含む Javascript Object Signing and Encryption (JOSE) と呼ばれる規格群のひとつです。 JWT は、 JWS または JWE を利用することができま
JWTというJSONデータを署名してトークンとして扱う仕組みがあります。 これをRubyで扱う方法を調べてみたので、備忘録がてら書いておきます。 JWTとは JWTはJSON Web Tokenの略。 JWTが総本山で、 RFC 7519 - JSON Web Token (JWT)に規格が定義されている。 RubyでJWTを扱うには RubyでJWTを扱うためのgemがいくつかある模様。 ruby-jwt json-jwt json_web_token この中ではruby-jwtがスタンダードなようなのでこれの使い方を調べてみた。 ruby-jwt MITライセンスのオープンソース。 https://github.com/jwt/ruby-jwtでコードが公開されている。 使い方 導入 gem install jwt するか、Gemfileに
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
