API 認証の基礎——API Key、OAuth 2.0、JWT の使い分け

const API_KEYS = new Map([
  ['sk_live_abc123', { userId: 'user_1', plan: 'premium' }],
  ['sk_live_def456', { userId: 'user_2', plan: 'free' }]
]);

function authenticateApiKey(req, res, next) {
  const apiKey = req.headers['x-api-key'];

  if (!apiKey) {
    return res.status(401).json({ error: 'API key required' });
  }

  const keyData = API_KEYS.get(apiKey);
  if (!keyData) {
    return res.status(401).json({ error: 'Invalid API key' });
  }

  req.user = keyData;
  next();
}

// 使用例
app.get('/api/users', authenticateApiKey, (req, res) => {
  res.json({ user: req.user });
});

const oauth2Server = require('oauth2-server');
const express = require('express');
const app = express();

// OAuth 設定
app.oauth = new oauth2Server({
  model: {
    // クライアント検証
    getClient: async (clientId, clientSecret) => {
      const client = await db.clients.findOne({ clientId });
      if (!client || client.clientSecret !== clientSecret) return null;
      return { grants: client.grants };
    },

    // ユーザー認証
    getUser: async (username, password) => {
      const user = await db.users.findOne({ username });
      if (!user || !await verifyPassword(password, user.passwordHash)) return null;
      return user;
    },

    // トークン生成
    saveToken: async (token, client, user) => {
      await db.tokens.create({
        accessToken: token.accessToken,
        refreshToken: token.refreshToken,
        expiresAt: token.accessTokenExpiresAt,
        clientId: client.id,
        userId: user.id
      });
      return token;
    }
  }
});

// 認可エンドポイント
app.get('/oauth/authorize', async (req, res) => {
  // ユーザーに同意画面を表示
});

// トークンエンドポイント
app.post('/oauth/token', async (req, res) => {
  try {
    const token = await app.oauth.token(req, res);
    res.json(token);
  } catch (e) {
    res.status(400).json({ error: e.message });
  }
});

const jwt = require('jsonwebtoken');
const JWT_SECRET = process.env.JWT_SECRET;

function authenticateJWT(req, res, next) {
  const authHeader = req.headers['authorization'];
  const token = authHeader && authHeader.split(' ')[1]; // "Bearer TOKEN"

  if (!token) {
    return res.status(401).json({ error: 'Token required' });
  }

  jwt.verify(token, JWT_SECRET, (err, user) => {
    if (err) {
      if (err.name === 'TokenExpiredError') {
        return res.status(401).json({ error: 'Token expired' });
      }
      return res.status(403).json({ error: 'Invalid token' });
    }
    req.user = user;
    next();
  });
}

// トークン発行（ログイン時）
app.post('/login', async (req, res) => {
  const { username, password } = req.body;
  const user = await validateUser(username, password);

  if (!user) {
    return res.status(401).json({ error: 'Invalid credentials' });
  }

  const token = jwt.sign(
    {
      sub: user.id,
      name: user.name,
      scope: ['read:profile', 'write:posts']
    },
    JWT_SECRET,
    { expiresIn: '1h' }
  );

  res.json({ token, expiresIn: 3600 });
});

// リフレッシュトークン発行
function issueRefreshToken(userId) {
  return jwt.sign(
    { sub: userId, type: 'refresh' },
    REFRESH_SECRET,
    { expiresIn: '30d' }
  );
}

// リフレッシュエンドポイント
app.post('/refresh', (req, res) => {
  const { refreshToken } = req.body;

  jwt.verify(refreshToken, REFRESH_SECRET, (err, payload) => {
    if (err || payload.type !== 'refresh') {
      return res.status(403).json({ error: 'Invalid refresh token' });
    }

    // 新しいアクセストークンを発行
    const newAccessToken = jwt.sign(
      { sub: payload.sub, scope: ['read:profile'] },
      JWT_SECRET,
      { expiresIn: '1h' }
    );

    res.json({ token: newAccessToken, expiresIn: 3600 });
  });
});