リクエストヘッダのx-tokenを読み取ってDBに保存してある認証トークンと照合するには？

Question

前提・実現したいこと

Goを利用してWebAPI用のサーバーのプログラムを書いています。ユーザー作成の部分はできていて、ユーザー管理のためのUserテーブル(DB上)にユーザーID、ユーザー名、認証トークンを生成して保存するところまではできたのですが、そこから認証トークンと照合するにはどうすれば良いかが分かりません。
私としては、DBに保存してある認証トークンとリクエストヘッダ内のx-tokenと照合したいのですが、以下のことが分からず困っています。
0. 現在使用しているライブラリのgorilla/mux、gorilla/schemaを利用してリクエストヘッダ内のx-tokenを読み取る方法。
0. 認証トークンはDB内に保管してあるデータであり、ユーザー登録を行ったクライアントは認証トークンを持っていない可能性が高い。このような場合、どうやってクライアントとサーバーで認証トークンを同期すればよいのか。また、クライアントには何のデータを送信するよう要求すればよいのか。
0. 認証トークンには有効期限が設定されている。トークンの有効期限が切れた場合、更新しなければならないと思うのだが、更新の処理はどうすればよいのか。

発生している問題・エラーメッセージ

• GoでWebAPI用のサーバーのプログラムを書いている。ライブラリにはgorilla/mux、gorilla/schemaを使用している。
• DBに保存してある認証トークンとリクエストヘッダ内のx-tokenを照合したいのだが、以下のことがわからない。

1. 現在使用しているライブラリのgorilla/mux、gorilla/schemaを利用してリクエストヘッダ内のx-tokenを読み取る方法。
2. 認証トークンはDB内に保管してあるデータであり、ユーザー登録を行ったクライアントは認証トークンを持っていない可能性が高い。このような場合、どうやってクライアントとサーバーで認証トークンを同期すればよいのか。また、クライアントには何のデータを送信するよう要求すればよいのか。
3. 認証トークンには有効期限が設定されている。トークンの有効期限が切れた場合、更新しなければならないと思うのだが、更新の処理はどうすればよいのか。

• 上記の1. 2. 3.の問題を解決し、認証トークンとリクエストヘッダ内のx-tokenの照合処理を完成させたい。
• トークンの生成方法は以下の通りとなる。

1. 新規ユーザー登録時、ユーザー名をパスパラメーターから取得する。
2. ユーザー名とは別に、ユーザーIDをUUIDで生成する。生成にはUUIDを扱うライブラリであるgoogle/uuidを使用する。
3. トークンの有効期限を設定するため、現在の時刻を取得する。
4. ユーザーIDをシードとして秘密鍵を生成。
5. PASETOを扱うライブラリであるo1egl/pasetoを利用してPASETO用のトークンペイロードクレーム(token payload claim)を生成する。この時、トークンの有効期限を3.で取得した現在時刻から30分後までとする。
6. footerに文字列"FOOTER"を設定する。
7. 秘密鍵、トークンペイロードクレーム、footerを元に認証トークンを生成する。
8. ユーザー情報を管理するDBのテーブルであるUserテーブルをマッピングした構造体UserにユーザーID、ユーザー名、認証トークンを格納し、それをDBに追加して反映させる。・

• 以上の処理のソースコードは以下の通りとなる。

package main

import (
	"database/sql"
	"net/http"

	"crypto/ed25519"
	"encoding/hex"
	"time"

	"github.com/go-gorp/gorp"
	"github.com/google/uuid"
	"github.com/gorilla/mux"
	"github.com/gorilla/schema"
	"github.com/o1egl/paseto"
)

//User : ユーザー情報を管理
type User struct {
	id    string `db:"ID, primarykey` //ユーザーID
	name  string `db:"name"`          //ユーザー名
	token string `db:"token"`         //認証トークン

}

//DB に接続
var DB, _ = sql.Open("mysql", "root:@APIDB")
var DBMap = &gorp.DbMap{Db: DB, Dialect: gorp.MySQLDialect{"InnoDB", "UTF8"}}

//ユーザー作成を行う
func userCreate(w http.ResponseWriter, r *http.Request) {
	//パスパラメーターから新規ユーザー名を取得
	value := mux.Vars(r)
	w.WriteHeader(http.StatusOK)
	
	//IDはUUIDで生成
	UUID, _ := uuid.NewUUID()
	
	now := time.Now()
	//ここから認証トークン生成部
	//ユーザーIDから秘密鍵生成用のシードを生成
	b, _ := hex.DecodeString(newUser.id)
	privateKey := ed25519.PrivateKey(b)
	jsonToken := paseto.JSONToken{
		Audience:   "Audience",                       
		Issuer:     "Issuer",                         
		Subject:    "WebAPI",                         
		Jti:        "UUID",                           
		Expiration: time.Now().Add(30 * time.Minute), 
		IssuedAt:   now,                              
		NotBefore:  now,                             
	}

	jsonToken.Set("KEY", "VALUE")
	footer := "FOOTER"
	tokenCreator := paseto.NewV2()
	//トークンを生成
	token, _ := tokenCreator.Sign(privateKey, jsonToken, footer)
	
    //新規ユーザー
    newUser := User{}
    newUser.name = value["name"]
    newUser.id = UUID.String()
    newUser.token = token
    //DBに追加＋反映
    dbHandler, _ := DBMap.Begin()
	dbHandler.Insert(newUser)
	dbHandler.Commit()

}

試したこと

以下のサイトを参考にすることで、認証トークンの作り方やgorillaの使い方はだいたい分かりましたが、現在私がやろうとしていることのやり方が分かりません。
goで作るAPIのセキュリティを考えた - Qiita
【Go×WAF】うほうほ！！gorillaを分かりやすくまとめてみた【mux/context/schema】 - Qiita

補足情報（FW/ツールのバージョンなど）

Goのバージョン：1.16
gorilla/muxのバージョン：1.8.0
gorilla/schemaのバージョン：1.2.0
使用しているDB:MySQL 8.0

Comments

[nobonobo]

どういった規約のトークンを生成したのか具体的に書かれていないので具体的な回答はかなり困難です。一般論としての情報はリンク先の情報で十分かと。

[BraveDragon]

トークンの生成方法について、情報を追記いたしました。

Answer 1

JWT認証の基本的な流れは以下のサイトが参考になると思います。

https://techblog.roxx.co.jp/entry/2019/03/13/135739

JWT認証について理解を深めてもう少し具体的な実装をやってみることをお勧めします。

ざっくりした流れは以下の４点。
（以下のフローはHTTPS通信で第三者に漏洩しない状態であることが必須条件です。）

1. ログイン時、ユーザーIDに紐づけて生成したトークンをクライアント（フロント）に送り、
2. クライアントはそのトークンを保存しておき、API呼び出しのヘッダにトークンを載せてアクセス。
3. サーバーはヘッダにあるトークンが本物かどうかを検証する。
4. 有効なトークンでリフレッシュAPIに要求が来たら有効期限をのばしたトークンを生成し直してクライアントに返す。

現状上げていただいた実装についてアドバイスできることは以下の様な内容です。

• サインアップをどうするかは考えておきましょう。

• userCreate処理はHTTPハンドラとして実装しないで独立した処理にしてサインアップ処理で使う様にしましょう。

• その上でログインとトークンリフレッシュ用のHTTPハンドラを実装しましょう

• DBに保存するのはトークンそのものではなく、プライベートキーにしましょう。（そうしないと2度と正しいトークンを生成できませんのでリフレッシュもできません）

• APIで認証情報を検証するには、サインアップ処理でクライアントに返したトークンがAPIリクエストヘッダーのAuthorizationヘッダに載ってるものを「Authorization: Bearer v2.public.eyJkYXRhIjoidGhpcyBpcyBhIHNpZ25lZCBtZXNzYWdlIiwiZXhwIjoiMjAxOC0wMy0xMlQxOTowODo1NCswMTowMCJ9Ojv0uXlUNXSFhR88KXb568LheLRdeGy2oILR3uyOM_-b7r7i_fX8aljFYUiF-MRr5IRHMBcWPtM0fmn9SOd6Aw.c29tZSBmb290ZXI」のようなBearer以降の文字列をpaseto.Verifyに引き渡すと検証できます。

• サインアップの際の生成トークンを保存するのは基本フロント側実装の責務です。

• Authorizationヘッダにトークンを載せるのはフロント側実装の責務です。

• トークンのリフレッシュする判断や要求もフロント側実装の責務が一般的です。

• つまり、JWT認証の話をする時、フロント側実装もセットで考える必要があります。

たまたま上記を実装してみた人がいたので追記

JWTが一般の実装でpasetoではありませんが、実装すべき最小限のコードと解説記事へのリンクがあります参考に。

https://github.com/miguelabate/jwt-go-mabate

Comments

[BraveDragon]

回答してくださり、誠にありがとうございました。
頑張ってみます。

[BraveDragon]

実装の解説記事のリンクまで教えてくださり、誠にありがとうございました。
完成させられるよう、私も努力いたしますのでよろしくお願いいたします。