Go言語のJWT認証・認可を完全解説！初心者でもわかるセキュリティの基本

Go言語のJWTを使った認証・認可の仕組み

先生と生徒の会話形式で理解しよう

生徒

「ログイン機能ってどうやって安全に作るんですか？」

先生

「そのときによく使われるのがJWTという仕組みです。ユーザーが誰かを証明するための仕組みです。」

生徒

「JWTって難しそうですが、何をしているんですか？」

先生

「簡単に言うと、ログインした人に特別な通行証を渡して、その通行証を見せることで本人確認をする仕組みです。」

1. JWTとは何か

JWTとは、ユーザーの認証や認可に使われるデータ形式のことです。認証とは本人確認のこと、認可とはその人に何ができるかを決めることです。

例えばテーマパークの入場券をイメージしてください。入場券を持っていれば中に入れるように、JWTを持っていればログイン済みと判断されます。

JWTはサーバー側に情報を保存しなくてもよく、軽くて高速な認証方式として広く使われています。Go言語でもWebアプリ開発でよく利用されます。

2. JWTの構造を理解しよう

JWTは3つの部分でできています。ヘッダー、ペイロード、署名です。

ヘッダーは暗号の種類、ペイロードはユーザー情報、署名は改ざんされていないことを保証するためのものです。

これらはドットでつながっており、1つの文字列として扱われます。

重要なのは、JWTは暗号化ではなく署名によって安全性を保っている点です。つまり中身は見えるが、改ざんはできないという仕組みです。

3. Go言語でJWTを生成する方法

Go言語ではライブラリを使って簡単にJWTを作ることができます。以下は基本的な例です。


package main

import (
    "fmt"
    "time"

    "github.com/golang-jwt/jwt/v5"
)

func main() {
    claims := jwt.MapClaims{
        "user_id": 1,
        "exp": time.Now().Add(time.Hour * 1).Unix(),
    }

    token := jwt.NewWithClaims(jwt.SigningMethodHS256, claims)
    tokenString, _ := token.SignedString([]byte("secret"))

    fmt.Println(tokenString)
}

このコードではユーザーIDと有効期限を含んだJWTを生成しています。secretは署名に使う秘密の鍵です。

4. JWTを使った認証の流れ

JWTを使った認証の流れはとてもシンプルです。

まずユーザーがログインすると、サーバーはJWTを発行します。その後、ユーザーはリクエストごとにJWTを送信します。

サーバーはそのJWTを検証して、正しければアクセスを許可します。

この仕組みにより、毎回ログイン情報を確認する必要がなくなり、効率的に認証できます。

5. JWTの検証方法

JWTは受け取るだけではなく、必ず検証が必要です。署名が正しいか、有効期限が切れていないかを確認します。


func verifyToken(tokenString string) {
    token, err := jwt.Parse(tokenString, func(token *jwt.Token) (interface{}, error) {
        return []byte("secret"), nil
    })

    if err != nil || !token.Valid {
        fmt.Println("無効なトークン")
        return
    }

    fmt.Println("有効なトークンです")
}

このように検証することで、不正なアクセスを防ぐことができます。

6. 認可の仕組みとロール管理

認可とは、ユーザーにどんな操作を許すかを決めることです。例えば管理者だけが削除できる機能などです。

JWTのペイロードにロールという情報を入れることで、権限を管理できます。


claims := jwt.MapClaims{
    "user_id": 1,
    "role": "admin",
    "exp": time.Now().Add(time.Hour * 1).Unix(),
}

このようにすると、adminユーザーだけ特別な処理を許可することができます。

7. ミドルウェアでJWTをチェックする

Go言語のWebアプリでは、ミドルウェアという仕組みを使ってJWTをチェックするのが一般的です。

ミドルウェアとは、リクエストの前処理を行う仕組みです。


func authMiddleware(next http.Handler) http.Handler {
    return http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
        tokenString := r.Header.Get("Authorization")

        if tokenString == "" {
            http.Error(w, "認証エラー", http.StatusUnauthorized)
            return
        }

        verifyToken(tokenString)
        next.ServeHTTP(w, r)
    })
}

これにより、すべてのリクエストに対して自動的に認証チェックが行われます。

8. セキュリティの注意点

JWTを使うときは、いくつか重要なポイントがあります。

まず秘密鍵は絶対に外部に漏らしてはいけません。また、有効期限を必ず設定することも重要です。

さらにHTTPSを使って通信を暗号化しないと、トークンが盗まれる可能性があります。

トークンをブラウザに保存する場合も、安全な方法を選ぶ必要があります。

まとめ

（振り返りのまとめ）

先生と生徒の振り返り会話