SPAでのログイン、認証について

Question

初めてSPAでアプリを実装しています。

そこでログイン、認証機能を作ろうと思い色々ググって見たのですがそこで、

Reactを始めとしたSPA(Single Page Application)では一般的にトークンを用いた認証方式が用いられます。そもそも今までのWebアプリケーションフレームワークなどではセッションベースの認証方式が一般的でした。

しかし、SPAではサーバーサイドにそのようなユーザ情報を保存しないというのが一般的です。

ではサーバーサイドに情報を保存しないのであれば、どこに認証情報を保存すればいいのでしょうか？
当然クライアントサイドということになります。サーバーサイドから発行されたトークンと呼ばれるものをクライアントサイドに保存し、
それをサーバーへのアクセス時に送ることで認証を行います。

とあったのですが、なぜcockieを用いたsession機能は基本的に使わないのでしょうか。

またこれはRailsチュートリアルのようなパスワードとemailなどの別の属性が一致することにより、session情報をブラウザに保存することをSPAではしない。
という理解でよろしいでしょうか。

よろしくお願い致します。

Answer 1

文字通りのSPA(Single Page Application)であれば、画面遷移をしないので、画面間で状態を受け渡しする必要がありません。そもそもCookieは画面間で情報を保持するために考案されたものなので、画面遷移をしないのであれば、Cookieは必要ない理屈になります。すべてJavaScriptの変数に保存すればよいわけです。
ただ、SPAであってもCookieを使う場合はありますし、SPAでも、たとえば複数タブで使いたいということであれば、タブ間で情報を共有する必要があります。なので、Cookie等を使う・使わないは、アプリケーションの仕様次第で変わります。

またこれはRailsチュートリアルのようなパスワードとemailなどの別の属性が一致することにより、session情報をブラウザに保存することをSPAではしない。

という理解でよろしいでしょうか。

これは認証の状態をセッションで保持することを指しているのだと思いますが、純粋なSPAであれば前述のようにセッションを使わないことができますし、マルチタブに対応や、SPA的ではあってもページ遷移もあり得るということであれば、セッションを使わなければならないケースもでてきます。

Comments

[suny]

返答ありがとうございます！

理解できました。

再度質問なのですが、「cookieなどの実装に関してはアプリケーションの仕様による。」とのことですが、実際にSPAではどのような形で認証機能が実装されることが多いのでしょうか？

OAuthが流行ってる的な記事は見たのですが、僕自身学生で実務経験がないため、ベストプラクティスがわかりません。

これもアプリケーションによるのだと思いますが、その中でも全体的な傾向を教えていただけたら嬉しいです。