トークン認証に向いているサービス

Question

認証機能についてご質問したいことがあります。

SPAなどでフロントエンドとバックエンドを分けて開発する際には、認証の仕組みもJWTなどでのトークンベースで行う必要があるかと思いますが、トークンベースでの認証を調べて行く内にECサイトなどの会員登録を行う必要があるサイトにはトークンベースでの認証は向いていないのではないかとの疑問が湧きました。
理由は例えばJWT認証では、セキュリティ的な問題でトークンの有効期限を短く設定しなければならないとされているからです。
頻繁にログアウトされてしまっては、あまりECサイトなどでは向かないと思ったのですが、実際の所トークンベースの認証はどういったサービスに向いているのでしょうか。
認証方式によって向き不向きなどありましたら、教えて頂けましたら幸いです

参考
・Cookie（Session）での認証とTokenでの認証の違いについて
・JWT認証について

Answer 1

SPAなどでフロントエンドとバックエンドを分けて開発する際には、認証の仕組みもJWTなどでのトークンベースで行う必要があるかと思います

いいえ、Cookieベースのセッション管理も使うことができます。

理由は例えばJWT認証では、セキュリティ的な問題でトークンの有効期限を短く設定しなければならないとされているからです。
頻繁にログアウトされてしまっては、あまりECサイトなどでは向かないと思ったのですが、実際の所トークンベースの認証はどういったシステムやサイトに向いているのでしょうか。

いいえ。たしかにJWTの有効期間は短くすることが推奨されていますが、リフレッシュトークンによりJWTを再生成するので、ユーザーからはログインが継続しているように見えます。

認証方式によって向き不向きなどありましたら、教えて頂けましたら幸いです

Cookieが使えるならCookieでよいし、Cookieが使いにくいならJWTを使えば良いと思います。Cookieが使いやすい条件とは、ウェブサーバーとAPIサーバーが同じドメインである場合で、これらが同一サーバーにあるなら自動的に
同じドメイン」ですし、たとえば

• ウェブサーバー: www.example.jp
• APIサーバー: api.example.jp

のようなサブドメインを使っている場合、Cookieとしては domain=example.jpとすれば同じドメインになるのでクッキーが使いやすいです。
一方、ウェブサーバーとAPIサーバーが異なるドメイン上に配置されていると、最近のCookieの仕様変更によりCookieは使いにくくなっているので、無理にCookieを使わずにJWTあるいは他のトークンにすればよいと思います。

Comments

[ruuuu]

ご回答ありがとうございます。
>リフレッシュトークンによりJWTを再生成するので、ユーザーからはログインが継続しているように見えます。
こちらですが、リフレッシュトークンを使用する場合、アクセストークン、リフレッシュトークンの保存先はcookie内になりますでしょうか。

[ockeghem]

Cookieという選択肢もあるのですが、先に紹介した「Cookieを使いにくい場合はJWT」という線引きをするのであれば、そもそもCookieが使いにくいからJWTを使っていることになるので、localStorageに保存することが有力な選択肢になります。

[ruuuu]

ご返信ありがとうございます。
自分としては、出来たらlocalStorageの使用はセキュリティ的な問題もありますし、避けたいと考えていました。
セキュリティ的な面を考慮すると、やはりCookieの使用が良いのかもしれないですね。

[ockeghem]

localStorageにセキュリティ的な問題があるというのは「神話」だと思います。以下のスライドおよび動画で解説していますが、CookieとlocalStorageはセキュリティ的にはほとんど差はありません。また、Cookieは仕様がどんどん変化している状況であり、サイトをまたがっては使いにくいです。
一方、Cookieを使う（使える）のであれば、無理にJWTにする必要性も薄いと思います。JWTには「即時ログアウトができない」という明確なセキュリティ上の制約があります。この点もスライドと動画で説明しています。

スライド: https://www.docswell.com/s/ockeghem/ZM6VNK-phpconf2021-spa-security
動画: https://www.youtube.com/watch?v=pc57hw6haXk