「OAuth 2.0のstateパラメータ？ なんだか難しそう…」そう思ったあなた、大丈夫です。
今日は、セキュリティの世界では「基本中の基本」と言われながら、実は現場で一番見落とされがちな「stateパラメータの重要性」について、難しい専門用語はなるべく置いておいて、皆さんの身近な「鍵と玄関」の話に例えて解説します。
これを読めば、なぜ私たちが「stateを指定しなさい！」と口を酸っぱくして言うのか、その理由が腹落ちするはずです。
—
1. そもそもOAuth 2.0って何？（泥棒と合鍵のたとえ）
皆さんが普段使っている「Googleでログイン」や「LINEでログイン」。あれがOAuth 2.0です。
仕組みを簡単に言うと、「あなたは本人ですよ」という証明書を、信頼できる相手（GoogleやLINE）から発行してもらい、それを持って自分のアプリの玄関を開けるというプロセスです。
ここで重要なのは、「アプリ側が、誰から来た証明書なのかを正確に見極めること」です。もし、玄関先で「自分は本人です！」と叫んでいるのが、実はあなたになりすました泥棒だったらどうでしょう？
—
2. stateパラメータがないと何が起きる？
もしstateという「確認用の合言葉」を使わなかったら、こんな恐ろしいことが起きます。
1. あなたがログインしようとする： あなたが「ログインボタン」を押して、Googleのサイトへ向かいます。
2. 泥棒の罠： 悪意ある攻撃者が、あなたのブラウザを横取りして、「攻撃者のアカウント」のログイン情報を、あなたのアプリに送りつけさせます。
3. アプリの勘違い： アプリは「あ、Googleからログイン情報が届いた！ 本人だ！」と信じ込み、攻撃者のアカウントとあなたのアプリのアカウントを紐付けてしまいます。
結果、あなたがアプリにログインすると、そこには攻撃者のデータが広がっている……なんていう「アカウント乗っ取り」に近い状況が生まれてしまうのです。これがCSRF（クロスサイトリクエストフォージェリ）という攻撃の入り口です。
—
3. stateパラメータという「最強の合言葉」
ここで登場するのがstateパラメータです。これは、「あなたとアプリの間だけで決めた、使い捨ての秘密の合言葉」です。
1. アプリ： 「ログインするなら、この『秘密の合言葉（state）』を覚えておいてね！」と、あなたのブラウザに渡します。
2. Googleへ： あなたは、その合言葉をポケットに入れてGoogleへ向かいます。
3. 戻ってきた時： Googleから戻ってきた時、アプリは必ず聞きます。「さっき渡した合言葉、持ってる？」
4. 一致チェック： もし持っていれば、「よし、本物だ！」と通します。もし持っていなければ、「誰だお前は！」と拒否できます。
泥棒は、あなたが持っているその「秘密の合言葉」の中身までは覗き見ることができません。だから、合言葉が一致しない泥棒の攻撃は、玄関先でしっかり弾くことができるんです。
—
4. 実践！ 安全な実装のイメージ
では、コードではどう書くのが正解でしょうか？（ここでは概念的な流れを示しますね）
【ステップ1：ログイン画面へ飛ばす時】
// 秘密のランダム文字列（state）を生成します
const state = crypto.randomBytes(16).toString(‘hex’);
// セッションに保存して、後で照合できるようにします
sessionStorage.setItem(‘oauth_state’, state);
// このstateを付けて認可リクエストを送ります
const authUrl = https://accounts.google.com/o/oauth2/v2/auth? +
client_id=YOUR_CLIENT_ID& +
response_type=code& +
state=${state}& + // ここが重要！
redirect_uri=YOUR_REDIRECT_URI;
【ステップ2：戻ってきた時（コールバック処理）】
// 戻ってきたstateと、最初に保存したstateを比較します
const returnedState = request.query.state;
const savedState = sessionStorage.getItem(‘oauth_state’);
if (returnedState !== savedState) {
// 合言葉が一致しない！これは攻撃の可能性大です
throw new Error(“セキュリティ違反：stateが一致しません！”);
}
// 一致したら、めでたくログイン成功！
—
まとめ：一歩ずつ、確実に守りを固めよう
「面倒だからstateチェックは省略しちゃえ」というのは、「家の鍵をかけるのが面倒だから、ドアを全開にして出かける」のと同じです。
最初は少し手間に感じるかもしれませんが、一度この「stateを検証する」という癖をつけてしまえば、どんなアプリを作る時でもあなたの守りは鉄壁になります。
セキュリティは、魔法のような一発逆転の技があるわけではありません。こうした「小さな確認の積み重ね」こそが、あなたとユーザーを守る最強の武器になるんです。
まずは今日、自分のプロジェクトのログイン処理を見てみてください。「state」という単語は入っていますか？ もし入っていなければ、そこが今日から直すべき一番のポイントです！
皆さんの開発が、より安全で、よりワクワクするものになることを応援しています！
コメント