google認証のrefresh_tokenの扱いでハマったポイント

はじめに

ある案件の要件に「Googleでログインしているユーザーで、スプレッドシートに帳票を出力してほしい」とありましたので、その実現のためにはまったポイントについて、refresh_tokenの「取り方」「保管の仕方」「使い方」の３つの観点で整理しようと思います。
サーバー側のロジックはGoで記述し、Webフレームワークは一部echoを使用しています。

全体概要

解説のためmain.goに全て記述しました。
著書『Go言語によるWebアプリケーション開発』（以下、「教科書」）の内容を元に実装しています。

package main

import (
	"fmt"
	"github.com/gomodule/redigo/redis"
	"github.com/google/uuid"
	"github.com/joho/godotenv"
	"github.com/labstack/echo"
	"github.com/stretchr/gomniauth"
	"github.com/stretchr/gomniauth/providers/google"
	"github.com/stretchr/objx"
	"golang.org/x/oauth2"
	google2 "golang.org/x/oauth2/google"
	"log"
	"net/http"
	"os"
	"strings"
)

// 認証情報はRedisに保存する
var conn redis.Conn

/*
CLIENT_ID プロジェクトのクライアントID
SECRET_VALUE プロジェクトのシークレットValue
REDIRECT_URL プロジェクトで設定したリダイレクトURL
SECURITY_KEY 任意の文字列
*/

func main(){
	log.Println("server start...")

	_ = godotenv.Load()

	var err error
	conn, err = redis.Dial("tcp", os.Getenv("REDIS_CONN"))
	if err != nil{
		panic(err)
	}

	// google認証機能の設定　
	gomniauth.SetSecurityKey(os.Getenv("SECURITY_KEY"))
	gomniauth.WithProviders(
		google.New(os.Getenv("CLIENT_ID"), os.Getenv("SECRET_VALUE"), os.Getenv("REDIRECT_URL")),
	)

	e := echo.New()

	// ハンドラの登録
	e.GET("/login", Login)
	e.GET("/callback", Callback)


	g := e.Group("")
	g.Use(AuthGuard())
	// ログインしていないと見れないページ
	g.GET("/private", Private)

	// echoサーバーの起動
	e.Logger.Fatal(e.Start(":1323"))
}

// Login GoogleログインのURLの発行処理
func Login(c echo.Context) error{
	log.Println("Login is invoked")

    // ！ refresh_tokenを取り出すときのポイント
	// provider, err := gomniauth.Provider("google")　教科書ではここでこれを使っているが、それだとScorpesをいじれないし、refresh_tokenも取れない。
	// url, err := provider.GetBeginAuthURL(nil, nil)

	// 代わりにoauth2でconfigを直接いじる。
	config := oauth2.Config{
		ClientID:     os.Getenv("CLIENT_ID"),
		ClientSecret: os.Getenv("SECRET_VALUE"),
		Endpoint:     google2.Endpoint,
		RedirectURL:  os.Getenv("REDIRECT_URL"),
		Scopes: []string{
			"https://www.googleapis.com/auth/userinfo.email",
			"https://www.googleapis.com/auth/spreadsheets", // スプレッドシートの使用権限を追加
		},
	}

	// こうするとログイン後にスプレッドシートの操作権限を渡して良いかの確認ダイアログが出るurlを取得でき、「refreshToken」が取れる。
	url := config.AuthCodeURL(os.Getenv("SECURITY_KEY"), oauth2.AccessTypeOffline, oauth2.ApprovalForce)

	// 生成したurlを返す。フロントはこれにリクエスト、リダイレクトしてもらう。
	return c.String(http.StatusOK, url)
}

/*
googleログイン後はリダイレクトURLに対してクエリ「?code=XXXX」がついた状態でリダイレクトする
教科書では直接GoのCallback関数にリダイレクトさせるように記述されているが、
フロントとAPIでソースコードが別れている場合ではうまくいかなかった。
そのため、一度フロントにURLを返して、改めて再度queryにcodeの値をセットして、Goの/callbackにリクエストを投げてもらっている。
*/

// Callback ログイン後のコールバック処理
func Callback(c echo.Context) error{
	log.Println("Callback is invoked")

	provider, err := gomniauth.Provider("google")
	if err != nil{
		return c.String(http.StatusInternalServerError, err.Error())
	}

	// codeの値を取り出す。Googleの認可処理
	code := c.QueryParam("code")
	cred, err := provider.CompleteAuth(objx.MustFromURLQuery("code=" + code))
	if err != nil {
		return c.String(http.StatusInternalServerError, err.Error())
	}

	// 変数「user」にGoogleで保持しているユーザー情報が取れる。access_token、emailと、アバターの画像、名前、jwtトークンに加えて、上記の対応によりここでrefresh_tokenが含まれるようになる。
	user, err := provider.GetUser(cred)
	if err != nil {
		return c.String(http.StatusInternalServerError, err.Error())
	}


    // refresh_tokenを保管するときのポイント 
	// redisにその情報を保存するため、keyを生成し、cred,userからほしい情報だけ取り出して保存する。
	uuID, err := uuid.NewRandom()
	if err != nil {
		panic(err)
	}	
    uuidStr := uuID.String()
	refreshToken := fmt.Sprintf("%v", cred.Get("refresh_token"))
	jsonStr := fmt.Sprintf(`{"refresh_token":"%s","email":"%s"}`,
		refreshToken, user.Email())

	log.Println(jsonStr)
	_, err = conn.Do("SET", uuidStr, jsonStr, "NX")
	if err != nil{
		return c.String(http.StatusInternalServerError, err.Error())
	}

	// フロントにredisのキーを返す。フロントは今後Header["Authorization"]に入れてリクエストしてもらう。
	return c.String(http.StatusOK, uuidStr)
}

// Private ログインしていない場合、"success"は表示されない。
func Private(c echo.Context) error{
	log.Println("Private is invoked")

	// context からトークンを取り出す
	token := c.Get("token").(string)
	log.Println(token)

	// tokenを表示させる。
	return c.JSON(http.StatusOK, token)
	//return c.String(http.StatusOK, "success")
}

// AuthGuard ログイン状態の確認
func AuthGuard() echo.MiddlewareFunc{
	return func(next echo.HandlerFunc) echo.HandlerFunc{
		return func(c echo.Context) error{
			log.Println("AuthGuard is invoked")

			// Header["Authorization"]からredisのキーを取り出す。
			token := c.Request().Header.Get("Authorization")
			key := strings.ReplaceAll(token, "Bearer ", "")

			// redisから情報を取り出す。
			res, _ := redis.String(conn.Do("GET", key))
			if res == ""{
				// ない場合、ログインが必要だと表示
				return c.String(http.StatusUnauthorized, "login required")
			}

			// contextに値を詰めておく。
			c.Set("token", res)

			// ログインしているので、その関数を実行する。
			if err := next(c); err != nil{
				return c.String(http.StatusInternalServerError, err.Error())
			}
			return nil
		}
	}
}

// ！ refresh_tokenの使い方のポイント
// リフレッシュトークンを元にアクセストークンを取得する
func getClient(refreshToken string) *http.Client {
	log.Println(model.IsInvoked())
	urlValue := url.Values{
		"client_id":     {os.Getenv("CLIENT_ID")},
		"client_secret": {os.Getenv("SECRET_VALUE")},
		"refresh_token": {refreshToken},
		"grant_type":    {"refresh_token"},
	}

	resp, err := http.PostForm("https://www.googleapis.com/oauth2/v3/token", urlValue)
	if err != nil {
		log.Fatalf("Error when renew token %v", err)
	}

	body, err := ioutil.ReadAll(resp.Body)
	_ = resp.Body.Close()
	if err != nil {
		log.Fatal(err)
	}
	var token oauth2.Token
	_ = json.Unmarshal(body, &token)
	config := oauth2.Config{}
	return config.Client(context.Background(), &token)
}

refresh_tokenの「取り方」のポイント

にてログイン機能の実装は解説されているのですが、その通りに実装すると、refresh_tokenを変数credの中から取得することができませんでした。（Login関数内のポイント①を参照）
そのため、config.AuthCodeURLのnilを渡している二箇所にそれぞれ、oauth2.AccessTypeOffline, oauth2.ApprovalForceを引数に渡すと、ユーザーがGoogleログインするときに「〇〇 が Google アカウントへのアクセスをリクエストしています」というダイアログを出すようになります。
すると、Callback関数のprovider.GetUser(cred)の返り値のなかに、refresh_tokenが含まれるようになります。

refresh_tokenの「保管の仕方」のポイント

refresh_tokenが流出した場合、その人の権限でスコープで記述した範囲のことができてしまうので、ユーザーに直接見える形で管理するというのは避けなければなりません。
そのため、今回はuuID.String()で生成した値をキーに、メールアドレスと一緒にredisに保管しています。キーをフロントとやり取りするときはAuthorizationヘッダー内に入れます。

refresh_tokenの「使い方」のポイント

いざ使うときにはrefresh_tokenをそのまま使うのではなく、その都度access_tokenを生成しなければなりません。
getClient関数にて、その記述をしました。

さいごに

まだまだ経験の浅いエンジニアです。上記がベストプラクティスなのかは確証がありません・・・。
他にもっと良い方法があった場合、ぜひぜひおしえてください。