はじめに

今回で最終回になります。
今回は，前回に続き、CSRFトークンを使った認証の実装をしていきます。

routerの実装

routerにCORSのmiddlewareを追加していきます。

router/router.go

package router

import (
	"go-rest-api/controller"
	"net/http"
	"os"

	echojwt "github.com/labstack/echo-jwt/v4"
   
	"github.com/labstack/echo/v4"
 //v4に変更
 "github.com/labstack/echo/v4/middleware"
)

func NewRouter(uc controller.IUserController, tc controller.ITaskController) *echo.Echo {
	e := echo.New()
	//ここからが今回追加したCORSのMiddleware
	e.Use(middleware.CORSWithConfig(middleware.CORSConfig{
		 //フロントエンドのアプリケーションにてCORSが許可するオリジン（ドメイン）を指定します。
		 //http://localhost:3000 はローカル開発環境のオリジンです。(今回はフロントの開発は割愛します)
		AllowOrigins: []string{"http://localhost:3000", os.Getenv("FE_URL")},
		//CORSが許可するHTTPヘッダーを指定します。echo.HeaderOrigin, echo.HeaderContentType, echo.HeaderAccept はヘッダーです。echo.HeaderAccessControlAllowHeaders は、クライアントがリクエストに含めることができるヘッダーをサーバーが指定するために使用されます。echo.HeaderXCSRFToken はCSRFトークンを含むヘッダーです。
		AllowHeaders: []string{echo.HeaderOrigin, echo.HeaderContentType, echo.HeaderAccept,
			echo.HeaderAccessControlAllowHeaders, echo.HeaderXCSRFToken},
        //GET, PUT, POST, DELETE は一般的なHTTPメソッドです。必要に応じてメソッドを追加します。
		AllowMethods:     []string{"GET", "PUT", "POST", "DELETE"},
        //trueに設定することで、Cookieなどの認証情報を含むリクエストを許可します。これは、認証が必要なAPIエンドポイントで重要です。
		AllowCredentials: true,
	}))
	//ここまでがCORSの設定
//ここからが今回追加したCSRFのMiddleware
e.Use(middleware.CSRFWithConfig(middleware.CSRFConfig{
		//CSRFトークンを含むCookieのパスを指定します。/ はルートパス全体を意味します。
		CookiePath:     "/",
        //CSRFトークンを含むCookieのドメインを指定します。os.Getenv("API_DOMAIN") は、環境変数API_DOMAINからAPIのドメイン名を取得します。
		CookieDomain:   os.Getenv("API_DOMAIN"),
        //trueに設定することで、JavaScriptからCookieにアクセスできないようにします。クライアントサイドのJavaScriptからCookieが読み取れないようにすることで、攻撃者がユーザーのセッションを盗むことを困難にします。
		CookieHTTPOnly: true,
        //SameSite属性を設定します。http.SameSiteDefaultMode は、Laxモードと同じ意味で、サードパーティのコンテキストからのリクエストではCookieが送信されないようにします。これは、CSRF攻撃を防ぐために重要です。
		CookieSameSite: http.SameSiteDefaultMode,
	}))
    //ここまでがCSRFの設定
    
	e.POST("/signup", uc.SignUp)
	e.POST("/login", uc.Login)
	e.POST("/logout", uc.LogOut)
    //csrfのエンドポイントにリクエストが合った際はUserControllerのCsrfTokenのメソッドを呼び出す。（今回追加したコード）
	e.GET("/csrf", uc.CsrfToken)
	t := e.Group("/tasks")
	t.Use(echojwt.WithConfig(echojwt.Config{
		SigningKey:  []byte(os.Getenv("SECRET")),
		TokenLookup: "cookie:token",
	}))
	t.GET("", tc.GetAllTasks)
	t.GET("/:taskId", tc.GetTaskById)
	t.POST("", tc.CreateTask)
	t.PUT("/:taskId", tc.UpdateTask)
	t.DELETE("/:taskId", tc.DeleteTask)
	return e
}

ユーザーコントローラの実装

CSRFトークンを取得するためのメソッドを追加していきます。

controller/user_controller.go

package controller

import (
	"go-rest-api/model"
	"go-rest-api/usecase"
	"net/http"
	"os"
	"time"

	"github.com/labstack/echo/v4"
)

type IUserController interface {
	SignUp(c echo.Context) error
	Login(c echo.Context) error
	LogOut(c echo.Context) error
    //下記のコードを追加
	CsrfToken(c echo.Context) error
}

type userController struct {
	uu usecase.IUserUsecase
}

func NewUserController(uu usecase.IUserUsecase) IUserController {
	return &userController{uu}
}

func (uc *userController) SignUp(c echo.Context) error {
	user := model.User{}
	if err := c.Bind(&user); err != nil {
		return c.JSON(http.StatusBadRequest, err.Error())
	}
	userRes, err := uc.uu.SignUp(user)
	if err != nil {
		return c.JSON(http.StatusInternalServerError, err.Error())
	}
	return c.JSON(http.StatusCreated, userRes)
}

func (uc *userController) Login(c echo.Context) error {
	user := model.User{}
	if err := c.Bind(&user); err != nil {
		return c.JSON(http.StatusBadRequest, err.Error())
	}
	tokenString, err := uc.uu.Login(user)
	if err != nil {
		return c.JSON(http.StatusInternalServerError, err.Error())
	}
	cookie := new(http.Cookie)
	cookie.Name = "token"
	cookie.Value = tokenString
	cookie.Expires = time.Now().Add(24 * time.Hour)
	cookie.Path = "/"
	cookie.Domain = os.Getenv("API_DOMAIN")
	//cookie.Secure = true
	cookie.HttpOnly = true
	cookie.SameSite = http.SameSiteNoneMode
	c.SetCookie(cookie)
	return c.NoContent(http.StatusOK)
}

func (uc *userController) LogOut(c echo.Context) error {
	cookie := new(http.Cookie)
	cookie.Name = "token"
	cookie.Value = ""
	cookie.Expires = time.Now()
	cookie.Path = "/"
	cookie.Domain = os.Getenv("API_DOMAIN")
	//cookie.Secure = true
	cookie.HttpOnly = true
	cookie.SameSite = http.SameSiteNoneMode
	c.SetCookie(cookie)
	return c.NoContent(http.StatusOK)
}

func (uc *userController) CsrfToken(c echo.Context) error {
    //Echoのコンテキスト c から "csrf" というキーで保存されている値を取得します。この値は、通常、CSRFミドルウェアによって事前にコンテキストに設定されているCSRFトークンです。
	token := c.Get("csrf").(string)
    //Echoのコンテキストを使用して、JSON形式のレスポンスをクライアントに返します。
	return c.JSON(http.StatusOK, echo.Map{
		"csrf_token": token,
	})
}

動作確認

下記のコマンドでプログラムを起動していきます。

GO_ENV=dev go run main.go

今回もPostmanで動作確認していきます。
http://localhost:8080/loginのエンドポイントを入力します。
メソッドはPOSTを選択し、Bodyのところはrawを選択し、JSONを選択します。
emailとpasswordを入力しSendボタンを押下します。

そうすると"message": "missing csrf token in request header"とメッセージが表示されます。

次はCSRFトークンを取得していきます。
http://localhost:8080/csrfのエンドポイントを入力し、GETメソッドでCSRFトークンを取得します。

"csrf_token": "AsqnsTlDnmSkmRCJIfzEXEXTxLrqNEjM"と書かれてるのがCSRFトークンです。

CSRFトークンをコピーして、HeadersタブのKeyX-CSRF-TOKENのValueにコピーしたCSRFトークンを貼り付けます。

http://localhost:8080/loginのエンドポイントを入力しPOSTメソッドでアクセスしていきます。

ステータスが200 OKとなっていて、Cookiesを見るとcsrfという名前でCookiesにcsrfトークンが保存されているのを確認できます。

次はPOSTメソッドでhttp://localhost:8080/tasksのエンドポイントにtitleをtask1にしてアクセスしていきます。

そうすると"message": "missing csrf token in request header"と表示されます。

前回取得したCSRFトークンをコピーし、Headersに移動し、KeyにX-CSRF-TOKENを入力、Valueに先ほど取得したCSRFトークンを貼り付け、再度http://localhost:8080/tasksのエンドポイントにtitleをtask1にしてアクセスしていくと新しくタスクが登録されます。

まとめ

5回にわたり、ToDoアプリの作成を行ってきました。
12月からアドベントカレンダーが始まるので、引き続きインプットしたものを技術ブログに書いていきます。