問題の概要
APIのコールバック関数で、本来POSTメソッドで呼び出されるはずの処理がGETメソッドで実行され、500エラーが発生する問題に遭遇した。一見すると謎の現象だが、原因を調査すると意外なユーザー行動が関係していた。
発生した症状
- APIコールバック処理で500エラーが発生
- 正常に動作する場合と異常な場合が混在
- エラーログを確認すると、POSTで処理されるべき箇所がGETメソッドで実行されている
原因の調査
初期の仮説
最初は以下のような原因を疑った：
- APIプロバイダー側の仕様変更
- サーバー側のルーティング設定ミス
- リダイレクト処理での変換
真の原因
詳細な調査の結果、以下の流れで問題が発生していることが判明：
- ユーザーがAPIを呼び出し、正常にPOSTでコールバックが実行される
- ユーザーがブラウザの戻るボタンを押下
- ブラウザが前のページに戻る際、再度コールバックURLにアクセス
- この時、ブラウザはGETメソッドでアクセス
- 古いコードに残っていた検証用のGETルートが実行される
- 不完全な処理により500エラーが発生
技術的な解説
なぜPOSTがGETに変わるのか
ブラウザの戻るボタンを押した際、以下の動作が発生する：
1. 最初のフロー（正常）
POST /api/callback → 正常処理 → リダイレクト → 完了ページ
2. ブラウザバック時のフロー（問題）
完了ページ → [戻るボタン] → GET /api/callback → エラー
ブラウザは履歴を辿る際、元のHTTPメソッドを保持せず、GETメソッドでアクセスする仕様になっている。
問題のコード例
// 古いコード（問題の原因）
app.post('/api/callback', (req, res) => {
// 正常な処理
processCallback(req.body);
res.redirect('/success');
});
// 検証用として残っていたGETルート
app.get('/api/callback', (req, res) => {
// 不完全な検証処理
validateCallback(req.query); // ここで500エラー
});
対処法
1. 不要なGETルートの削除
// 検証用のGETルートを削除
// app.get('/api/callback', ...); // 削除
app.post('/api/callback', (req, res) => {
processCallback(req.body);
res.redirect('/success');
});
2. GETアクセスへの適切な対応
app.get('/api/callback', (req, res) => {
// 適切なエラーレスポンスまたはリダイレクト
res.status(405).json({
error: 'Method Not Allowed',
message: 'This endpoint only accepts POST requests'
});
});
3. 冪等性を考慮した設計
app.post('/api/callback', (req, res) => {
const transactionId = req.body.transaction_id;
// 既に処理済みかチェック
if (isAlreadyProcessed(transactionId)) {
return res.redirect('/success');
}
processCallback(req.body);
markAsProcessed(transactionId);
res.redirect('/success');
});
4. フロントエンド側での予防策
// ブラウザバックを無効化（必要に応じて）
window.history.pushState(null, null, window.location.href);
window.addEventListener('popstate', function(event) {
window.history.pushState(null, null, window.location.href);
});
学んだ教訓
1. ユーザー行動の想定
- ユーザーは予期しない操作を行う可能性がある
- ブラウザの基本機能（戻るボタン等）への考慮が必要
2. 古いコードの管理
- 検証用やテスト用のコードは適切に削除する
- 不要なルートを残さない
3. エラーハンドリングの重要性
- 想定外のHTTPメソッドでのアクセスにも適切に対応
- 明確なエラーメッセージで問題の特定を容易にする
4. 冪等性の設計
- 同じ処理が複数回実行されても安全になるよう設計
- 重複処理の検出と適切な処理
まとめ
APIコールバック処理では、ユーザーのブラウザ操作によって予期しないHTTPメソッドでアクセスされる可能性がある。特にブラウザの戻るボタンによる操作は、POSTリクエストをGETリクエストに変換してしまう。
この問題を防ぐには：
- 不要なルートの削除
- 適切なエラーハンドリング
- 冪等性を考慮した設計
- ユーザー行動の想定