はじめに
最近FastAPIにハマっています。直観的にコードが書けるところやSwaggerを自動生成してくれるところに魅力を感じています。
また公式ドキュメントいわく
高速: NodeJS や Go 並みのとても高いパフォーマンス (Starlette と Pydantic のおかげです)。 最も高速な Python フレームワークの一つです.
と性能もかなり高水準なようです!!
SQLAlchemy2.0以降はDBとの非同期接続に対応しており、より高速な処理が期待できそうです。
FastAPIにはOAuth2が組み込まれており、簡単にOAuth2認証を実装できます。
今回はFastAPIを使用して、タスク管理アプリを例にOAuth2認証を体験したいと思います。
概要
FastAPIの公式チュートリアルにはOAuth2の実装方法が書いてあるのですが少し読みづらい部分があります。
Githubにコードをあげているので、こちらも参考にしていただければ幸いです。
FastAPIの実装に関しては以下の記事を参考にしています。
この記事では、ファイル分割やテストコードなど必要な情報が網羅されておりチュートリアルとしてお勧めです。
OAuth2がなかったらどうなるのか
まず、OAuth2を使用しないでAPIを設計すると、どのような問題が生じるかを体験してみましょう。
$ git clone https://github.com/Tanakaryuki/FastAPI_OAuth2.git
$ cd FastAPI_OAuth2
$ git checkout fix
$ docker-compose build
$ docker-compose up
localhost:8000/docsにアクセスするとSwaggerが表示されます。
始めにアカウント作成をしてみましょう。
/api/signupからTry it outをクリックし、現れたExecuteをクリックします。
下の画像のようになっていたら成功です。
次にタスクを作成してみましょう。
/api/taskからタスクを作成出来ます。
administrator_usernameは先ほど作成したアカウントのusernameを利用してください。
idは記録しておいてください。
下の画像のようになったら成功です
通常、ユーザの情報はユーザ自身しか閲覧できません。しかし、現状APIを実行することで誰でも閲覧できる状態にあります。
現に/api/task/{id}から誰でも閲覧可能です。
このままでは個人情報が保護されません。
そこで登場するのがOAuth2です。さっそく利用してみましょう。
OAuth2があったらどうなるか
それではOAuth2が実装されているブランチに移動してみましょう。
このブランチでは、タスクの作成・取得にOAuth認証が必要になります。
$ git checkout main
OAuth2を利用する際にはJWTトークンの署名に使用されるランダムな秘密鍵が必要になりますので、以下のコマンドで生成します。
$ openssl rand -hex 32
生成した秘密鍵を保存したら.env.sampleを参考にして.envファイルを作成します。
以下を例に入力してください。
SECRET_KEYには先ほど作成した秘密鍵を配置してください。
設定が完了したら起動してみましょう。
docker-compose up
起動に成功したら以下のような画面が表示されるはずです。
先ほど作成したタスクを/api/task/{id}から取得してみましょう。
認証エラーが返ってきました。
次に認証してからタスクを取得してみましょう。
右上にある鍵アイコンをクリックします。
usernameとpasswordを求められるので入力します。
入力が完了したらAuthorizeをクリックします。
認証が完了したら以下の画像のようになります。
もう一度タスクを取得してみましょう。
これでタスクを正常に取得出来ました。
OAuth2を利用するメリット
セキュリティの向上
OAuth2は高度なセキュリティ機能を提供する認証プロトコルであり、ユーザの認証情報を安全に管理できます。
トークンベースの認証を採用することで、アクセストークンが漏洩しても被害範囲を抑えることが可能です。
アクセス制限
OAuth2はアクセストークンを使用してアクセス制限を効果的に管理できます。これによりクライアントがどのリソースにアクセスできるかを制限し、セキュリティを向上させることができます。
外部サービスとの統合
OAuth2は標準化されたプロトコルであり、多くの開発者やサービスが採用しています。
これにより異なるアプリケーションやサービス間での相互運用性が向上し、外部サービスとの統合が容易になります。
まとめ
今回、OAuth2を利用してセキュアなAPIを実現する過程を体験しました。
FastAPIとOAuth2を組み合わせることで、高い開発生産性とセキュアな認証・認可の仕組みを構築することが可能です。
またFastAPIはスキーマ設計と相性がとても良いので、是非触ってみて欲しいです。