認証の仕組みと実装 | 認証とセキュリティ | Python 本格超入門 基本から発展へ

from flask import Flask, request, jsonify
import hashlib

app = Flask(__name__)

# サンプルのユーザーデータベース
# セキュリティ上の絶対ルールとして、パスワードは生文（プレーンテキスト）のまま保存してはいけません。
# ここではあらかじめSHA-256でハッシュ化した値を登録しています。
users = {
    "user1": hashlib.sha256("password1".encode()).hexdigest(),
    "user2": hashlib.sha256("password2".encode()).hexdigest(),
}

@app.route('/login', methods=['POST'])
def login():
    # リクエストからBasic認証などの認証情報を取得
    auth = request.authorization
    
    if not auth or not auth.username or not auth.password:
        return jsonify({"message": "認証情報が不足しています"}), 401

    username = auth.username
    # 入力されたパスワードをハッシュ化して比較の準備をする
    input_password_hash = hashlib.sha256(auth.password.encode()).hexdigest()

    # ユーザー名が登録されており、かつハッシュ化したパスワードが一致するか検証
    if username in users and users[username] == input_password_hash:
        return jsonify({"message": f"ようこそ、{username}さん"}), 200
    else:
        # 認証失敗時は、一律で401 Unauthorizedステータスを返す（ハッカーへのヒントを減らすため）
        return jsonify({"message": "ユーザー名またはパスワードが正しくありません"}), 401

if __name__ == '__main__':
    app.run(debug=True)

import jwt
import datetime
from flask import Flask, request, jsonify

app = Flask(__name__)

# JWTの暗号化署名に使う秘密鍵（本番環境では必ず環境変数から取得し、厳重に秘匿してください）
app.config['SECRET_KEY'] = 'your_super_secret_key_string'

def generate_token(username):
    """ユーザー名と有効期限を含んだ暗号化トークンを発行する"""
    payload = {
        'username': username,
        # トークンの有効期限を「現在時刻から30分間」に設定
        'exp': datetime.datetime.now(datetime.timezone.utc) + datetime.timedelta(minutes=30)
    }
    # 秘密鍵とHS256アルゴリズムを使用してトークンを署名・生成
    token = jwt.encode(payload, app.config['SECRET_KEY'], algorithm='HS256')
    return token

@app.route('/login', methods=['POST'])
def login():
    auth = request.authorization
    # 簡易的なユーザー検証
    if auth and auth.username == 'user1' and auth.password == 'password1':
        # 認証成功時にJWTを発行してクライアントに返す
        token = generate_token(auth.username)
        return jsonify({"token": token}), 200
    
    return jsonify({"message": "認証に失敗しました"}), 401

@app.route('/protected', methods=['GET'])
def protected_api():
    """有効なトークンを持っていないとアクセスできない保護されたAPI"""
    # リクエストヘッダーの 'Authorization' からトークンを回収
    token = request.headers.get('Authorization')

    if not token:
        return jsonify({"message": "トークン（許可証）が添付されていません"}), 401

    try:
        # 送られてきたトークンを秘密鍵で復号・検証
        # 改ざんされていないか、有効期限（exp）が切れていないかを自動チェックします
        data = jwt.decode(token, app.config['SECRET_KEY'], algorithms=['HS256'])
        return jsonify({"message": f"認証成功。ようこそ{data['username']}さん。保護されたデータです。"}), 200
        
    except jwt.ExpiredSignatureError:
        return jsonify({"message": "トークンの有効期限が切れています。再度ログインしてください。"}), 401
    except jwt.InvalidTokenError:
        return jsonify({"message": "トークンが不正、または改ざんされています。"}), 401

if __name__ == '__main__':
    app.run(debug=True)