ログインユーザーの管理 - システム開発で思うところ

ログインしたユーザー情報を管理するにあたって必要そうなことの整理。

順不同で、あれこれ。

各種部品を作ったりするための整理。

EEとかSpringの認証ライブラリは？
名前付け
ライフサイクル
ログアウト
セッションハイジャック対策
パスワードのハッシュ化
認証と認可を分ける
権限判定
リダイレクト
ログイン前後の情報喪失を防ぐ
参考情報

EEとかSpringの認証ライブラリは？

とりあえず、各種ライブラリを使わないで自前のForm認証から試してみようかと考えています。
今回のテーマは、認証認可をするための仕組みというよりも、ログイン後の権限に対する仕組みを考えてみようと思っているからです。

イントラネット（プライベート）だったら自前のものや、Firewallの後ろだからBasic認証でも良いかなと思うし、インターネット（パブリック）だったら、自前でログインによる認証・認可を管理するよりも Googleとかのサービスを使うことになると思っています。
つまり、仕組みとして注力するのはライフサイクルやアクセス権限のことを考える方を優先した方が良いかな？と。

名前付け

ログインユーザーとか、セッションユーザーとか、そんな感じ。
操作者の情報という意味を鑑みて「ClientAgent」にしようと思っています。

ライフサイクル

Scopedアノテーションを付与したクラスと振る舞いを行うクラスは別にして、ライフサイクルだけを管理するものにしておく。

今回はセッションスコープ

リクエストスコープにして、都度永続化情報やキャッシュへ問い合わせるというやり方もあると思います。
（可用性の高い仕組みを設けたい場合は、こっちかな？）
アクセスキーは、ログインIDか、そこから生成したハッシュ値を使うイメージ。

ログアウト

もしくは、セッション破棄。
これはクライアントが関係するので、JavaScript による close をトリガーとしてサーバーサイドの操作をします。

セッションハイジャック対策

ログインしたところで、セッションＩＤを書き換えます。
自前のForm認証じゃない場合でも、使えるような仕組みにしたいところですが、そのためには Basic認証とかコンテナによる認証機構を使うとか、そのあたりも調べないといけないので後回しにするかも。

パスワードのハッシュ化

生パスワードでチェックをするのではなく、ハッシュ化したもので判定をする。
SALTとか使って云々をするところとか、そのあたりもかな。
一応、自前のForm認証用のUtilityとして作るところを最低限と言う感じかなぁ。
この機能はユーザー登録みたいなところでも使えるような可搬性も踏まえた作りにしておきたいところ。

認証と認可を分ける

若干YAGNIな気もするけど、OAuth2を使った仕組みへの連携とか、そのあたりをある程度考慮した仕組みも考えておきたいところ

権限判定

アクションに対するロールとか、そのあたりの仕組み。
悩んでいるところとしては、アクションに対するロールという整理が良いのか、アクターとユースケースとする整理が良いのか、というところ。

これについては、デブサミで偶然良い視座をいただきました。

「ServiceはどのControllerから呼ばれるか分からないので、で堅く確実に守るべきところを守る。」
「Controllerとの重複は許容。if文で分岐して権限によって操作可否を判定する、というようなところもある（ので、Serviceだけで権限判定をするということでもない）」
— Yamashita (@_vermeer_) 2019年2月20日

リダイレクト

ログイン画面へのリダイレクトさせるケース

未ログイン

操作に対して、そもそもログインしているか、していないか、というレベルの話。
権限が付与されていない状態での操作、というものもこれに含まれるかな。
OAuth2の発想が参考になりそうな気がします。

タイムアウト

セッションタイムアウトしていたら、再ログインを促します。
未ログインとの違いは、長時間の操作をしていなかったことをユーザーに通知してからログイン画面に遷移させるか、いきなりログイン画面に遷移させるか、というところ。
自分の観測範囲では、遷移パターンはサービスによって異なるように思います。

ログイン画面へタイムアウトメッセージを添えて遷移する
タイムアウトした旨を伝える画面に遷移して、そこからログイン画面へ遷移する

と思ったけど、機能としてはタイムアウトを検知時に遷移する先の遷移先を指定するだけだから、実質一緒かな？

権限の異なる操作

異なる権限のユーザーで、URLを直接実行するケース。
悪意が無ければ普通は無さそうなケースだけど、だからこそ外せないところ。
通常なら URL Filterで制御するようなところです。
なので、Serviceで権限制御をしようとすると、この点については対処できないケースがあるような気がしています。ただ、適切に権限指定すれば大丈夫な気もしています。