鍵を渡したはずなのに…？OIDC「UserInfoエンドポイント」で絶対に守るべき鉄則
こんにちは！セキュリティの世界へようこそ。
今日は、最近のWeb開発では避けて通れない「OpenID Connect (OIDC)」の、ちょっとした落とし穴についてお話しします。
「ログイン機能を作ったから安心！」と思っていませんか？実は、家で例えると「玄関の鍵を渡した相手が、勝手にクローゼットの中身まで覗き見できてしまう」という、ちょっと怖い状態になりがちなんです。
今回は、ユーザーの情報を取得する「UserInfoエンドポイント」をどう守るか、泥棒に目をつけられないための防犯対策を紐解いていきましょう。
—
1. そもそも「UserInfoエンドポイント」って何？
OIDCにおけるUserInfoエンドポイントは、いわば「身分証明書のコピー機」です。
1. ユーザーが「ログインしたい！」と申請する。
2. 認証サーバーが「よし、お前は〇〇さんだな」と「アクセストークン（＝通行証）」を渡す。
3. アプリケーションがその通行証を持って「〇〇さんの名前とメールアドレスを教えて！」とUserInfoエンドポイントに行く。
4. エンドポイントが「はい、どうぞ」と情報を渡す。
一見スムーズですが、ここには「通行証さえあれば誰でも情報を引き出せる」というリスクが潜んでいます。もし、この通行証が悪い人に盗まれてしまったら……？
—
2. 攻撃者が狙う「盲点」
攻撃者は、盗んだアクセストークンを悪用してUserInfoエンドポイントを叩きます。すると、あなたのユーザーのPII（氏名、住所、メールアドレスなどの個人情報）が、あっという間に流出してしまいます。
ここで大切なのは、「通行証を見せられたからといって、無条件で全部の情報を見せてはいけない」というガードマンの視点です。
—
3. 実践！安全な実装のための3ステップ
では、具体的にどう守ればいいのでしょうか。以下の3つのポイントを守るだけで、セキュリティレベルは劇的に向上します。
ステップ1：スコープによる「情報の最小化」
家の中に例えるなら、玄関先での応対だけで済ませるか、リビングまで入れるかの違いです。「名前を知りたいだけなのに、住所まで教える必要はない」ですよね。
- 対策: ユーザーがログインする際、必要な情報だけを要求するように「スコープ」を絞りましょう。
- `openid` (必須)
- `profile` (名前など)
- `email` (メールアドレスのみ)
ステップ2：アクセストークンのチェックを厳格に
「通行証（アクセストークン）」が本物か、期限切れではないか、そして「そのアプリ向けに発行されたものか」を必ず確認しましょう。
ステップ3：レスポンスヘッダーで情報の漏洩を防ぐ
ブラウザが万が一乗っ取られた際、情報を守るための盾が「セキュリティヘッダー」です。
サーバーからの応答にこれらのヘッダーを付与しましょう
Content-Security-Policy: default-src ‘self’; # 許可した場所以外からの読み込みを禁止
X-Content-Type-Options: nosniff; # ブラウザの勝手なファイル解釈を防ぐ
Cache-Control: no-store, max-age=0; # 個人情報をキャッシュさせない（重要！）
—
4. 実装のコードサンプル（イメージ）
Node.js（Express）でUserInfoエンドポイントを作る際の、守るべきロジックの断片です。
app.get(‘/userinfo’, async (req, res) => {
// 1. Authorizationヘッダーからトークンを取り出す
const token = req.headers.authorization?.split(‘ ‘)[1];
// 2. トークンの正当性確認（ここが最重要！）
const userData = await verifyTokenAndGetInfo(token);
if (!userData) {
return res.status(401).send(‘通行証が無効です。泥棒はお断り！’);
}
// 3. PII保護：必要な分だけを返す（最小権限の原則）
const safeProfile = {
sub: userData.sub,
name: userData.name,
email: userData.email
// 住所や電話番号など、不要なデータは含めない！
};
// 4. キャッシュをさせないヘッダーを設定
res.setHeader(‘Cache-Control’, ‘no-store’);
res.json(safeProfile);
});
—
最後に：セキュリティは「泥棒とのいたちごっこ」ではなく「習慣」
セキュリティ対策と聞くと身構えてしまいますが、結局のところ「自分の大切なものを、誰に、どこまで見せるか」を丁寧に決めるという、日常的な配慮と変わりません。
今回学んだ「スコープの限定」「トークンの検証」「ヘッダーでのキャッシュガード」は、どの開発現場でも今日から使える強力な武器です。
一歩ずつで大丈夫。まずは自分の書いたコードが「玄関の鍵」をしっかり管理できているか、確認することから始めてみてくださいね。困ったことがあれば、またいつでも聞きに来てください！
コメント