背景
LINE WORKSのbotサーバを開発する際，受信したユーザからの応答（callback）が正しくLINE WORKS側から送信されたものなのか（改竄されていないか）を判定する必要があります。LINE WORKSの公式ページにはJavaのサンプルコードはあるのですが，JavaScriptのものは無かったため自分で実装しました。さらにこれをExpressのミドルウェアとして利用できるようにしましたので共有します。
環境
- Node v16.13.0
- npm 8.1.4
- Express 4.15.2
公式ページから
上述の公式ページには以下のような記述があります。
Bot サーバーが受信した HTTP POST リクエストは、LINE WORKS プラットフォームから送信されていない危険なリクエストの可能性があります。 必ず署名を検証してから、イベントオブジェクトを処理してください。
メッセージサーバーから送信されたメッセージの改ざん有無を確認するには、ヘッダーに含まれる X-WORKS-Signature を用います。 確認プロセスは以下を参照してください。
「Developers Console > Bot」Botの詳細情報画面でBot Secretを取得します。
Bot Secretを秘密鍵として利用し、メッセージサーバーから送られた body の内容を HMAC-SHA256 アルゴリズムでエンコードします。
上記の HMAC-SHA256 アルゴリズムでエンコードした結果を BASE64 エンコードします。
X-WORKS-Signature のヘッダー値と比較し、同一であればメッセージは改ざんされていないと判断できます。
では，Node.jsのデフォルトモジュールであるcryptoモジュールを利用してコードを実装していきます。
コード
まずbotのidとsecretをまとめたJSONを用意しておきます。
const botSecrets = {
12345678: 'abcdefghijklmn',
23456789: 'opqrstuvwxyz'
}
実際にはこのようにハードコーティングするのでなく，.envファイル等で管理した方が良いでしょう。
実際のミドルウェアのコードがこちらです。
const crypto = require('crypto')
const worksHeaderCheck = function (req, res, next) {
const body = JSON.stringify(req.body)
const botId = req.header('X-WORKS-BotId')
const signature = req.header('X-WORKS-Signature')
if (!botId || !signature) return next(new CustomError('Header malformed.', 400))
const secret = botSecrets[botId]
if (secret === undefined) return next(new CustomError('Bot secret is undefined', 500))
const hash = crypto.createHmac('sha256', secret).update(body).digest('base64')
if (signature !== hash) return next(new CustomError('Signature is altered.', 401))
next()
}
まずヘッダのX-WORKS-BotIdおよびX-WORKS-Signatureに含まれるbotのidと署名を取り出します。どちらかが欠損していればヘッダ情報不良として400エラーを返します。
次にbotのsecretが登録されているか判定し，登録がなければ500エラーを返します。
最後に送信されたbodyと登録されていたbot secretからハッシュを計算し，送信されたsignatureと比較します。ハッシュ計算の際には最初からbase64形式で求めることに注意しましょう。合致しなければ改竄されていることになりますので，401エラーを返します。
なおCustomErrorはエラーハンドリングをシンプルにするためのカスタムエラークラスです。azujuuuuuun様のエントリを参考にさせて頂きました。
// エラーハンドリング用カスタムクラス
class CustomError extends Error {
constructor(message, statusCode) {
super(message)
this.statusCode = statusCode
}
}
// エラーハンドリング用ミドルウェア
const errorHandler = function (err, req, res, next) {
console.error(err.message)
res.status(err.statusCode || 500).send(err.message)
}
使用法
express()
.use(express.urlencoded({ extended: true }))
.use(express.json())
.get('/hoge', worksHeaderCheck, (req, res) => {
// 処理
})
.use(errorHandler)
.listen(PORT, () => console.log(`Server started and listening on ${ PORT }`))