最もセキュリティレベルが高いのは、都度認証でしょう。また、バックエンドから認証エラーが返ってきたときにログイン画面にリダイレクトすればいいだけなので、実装的にも最も簡単だと思われます。ただ、当然のことながらIDトークンの有効期限が切れるたびに認証を突破しなければいけないため、UX的には最も劣る方法でもあります。 次にトークンをリフレッシュする方法を考えます。これなら有効期限が切れてもユーザの手を煩わせることもありません。フロント側でリフレッシュトークンを持っておいて、バックエンドから認証エラーが返ってきたときにトークンエンドポイントに対してリフレッシュトークンを送信し、新しいIDトークンを受け取ります。ただこの場合、リフレッシュトークンが万が一漏れた場合に他人になりすまされてしまいます。フロント側ではリフレッシュトークンを安全に保管することはできません。 バックエンド側でトークンを保管することを考えます。そうするとフロントとバックエンドでセッションを共有するための別の要素が必要になってきます。ログインに成功したら、バックエンドでセッションIDを発行し、トークン3セットと紐付けておきます。レスポンスとしてはトークン3セットの代わりにセッションIDを返すようにしましょう。そうすると、フロントはIDトークンの有効期限など考えずに、単純にセッションIDをCookieに保存しておき、毎回のリクエストに含めるだけで良くなります。IDトークンの有効期限が来た場合は、よしなにバックエンドでトークンをリフレッシュし、新しいトークンに交換しておきます。ただこの場合も、セッションIDが漏れた場合になりすまされてしまいます。結局、リフレッシュトークンがセッションIDに置き換わっただけで、本質的には何も変わっていません。

基本的な方針の比較

リフレッシュトークンもセッションIDの違いについて考えてみます。まず、リフレッシュトークンには有効期限がありますがセッションIDにはありません。しかし、セッションIDをCookieで保存するなら有効期限は設定できます。次に、セッションIDはリクエストのたびに送るものですが、リフレッシュトークンはトークンの有効期限が切れた場合のみ送るものです。なので、ネットワークを経由する頻度としてはリフレッシュトークンのほうが圧倒的に少ないと言えます。最後に、漏洩した場合のリスクですが、セッションIDについては明示的にログアウトしない限り有効です。リフレッシュトークンについて言えば、基本的に1回使ったら古いものは使えないはずです。※リフレッシュトークンの再利用はできないようにすべきですが、OAuth2.0の仕様として<a href="unsafe:決められているわけではない">決められているわけではない</a>ようです。<blockquote>例えば, 認可サーバーはアクセストークンリフレッシュレスポンスの都度新しいリフレッシュトークンを発行するリフレッシュトークンローテーションを採用することができる.&nbsp;</blockquote> 総合的に見て、単なるセッションIDよりもリフレッシュトークンのほうがセキュリティレベルが高いような気がしてきました。

リフレッシュトークンとセッションIDの比較

考察

Googleの場合には、インプリシットフローではリフレッシュトークンを取得することができませんでした。<img src="https://images.microcms-assets.io/assets/b30d7661c2694503832399a83cea2137/11a4132c62f14a59ac1e6a3f79d451ad/Screenshot%20from%202024-04-12%2022-59-34.png" alt="">やはりURLフラグメントで丸見えになってしまうからでしょうか。リフレッシュトークンは有効期限が長く漏洩した場合のダメージが大きいため、インプリシットフローではそもそも禁止されているものと思われます。なので、その場合は都度認証しか手段がないですね。

インプリシットフローとリフレッシュトークン

上の比較検討のところで、<blockquote>リフレッシュトークンについて言えば、基本的に1回使ったら古いものは使えないはずです。</blockquote>と書きましたが、本当にそうでしょうか？試しにGoogleの認可サーバが対応しているかどうか試してみましょう。 1回目の使用<img src="https://images.microcms-assets.io/assets/b30d7661c2694503832399a83cea2137/246b3998ed614b8eacba838023775956/Screenshot%20from%202024-04-12%2023-13-28.png" alt=""> 2回目の使用<img src="https://images.microcms-assets.io/assets/b30d7661c2694503832399a83cea2137/81b0cac66f4d4207855cedff3dffd7af/Screenshot%20from%202024-04-12%2023-15-44.png" alt=""> 普通に使えちゃってますね・・・意外でした。 ユーザがもう一度認可した場合は、古いリフレッシュトークンは利用できるんでしょうか？（再度認可しました） <img src="https://images.microcms-assets.io/assets/b30d7661c2694503832399a83cea2137/5796533aa26f414896e1d475e8de755b/Screenshot%20from%202024-04-12%2023-19-44.png" alt="">普通に使えちゃってますね・・・これだと、セッションIDを使うのとあまり変わらないかもしれないです。 後になって気づいたのですが、トークンリフレッシュレスポンスにリフレッシュトークンは含まれていませんでした。つまり、元々最初に発行されたリフレッシュトークンを使いまわすことをあえて意図しているようです。リフレッシュトークンの有効期限について調べてみましたが、明確な記述は見つかりませんでした。<a href="https://groups.google.com/g/google-apps-api-japan/c/kvKDfaQfvvI" target="_blank" rel="noopener noreferrer">かなり長く設定されているようだ、みたいな話</a>もあるみたいです。

リフレッシュトークンのローテーション検証

演習

以下、あくまでも自分の意見ですがまとめました。<ul><li>ユーザがいないときにアクセストークンを利用するユースケース(毎日特定の時間にGoogleドライブにアクセスするなど)がないのであれば、都度認証が最も望ましい<ul><li>1時間毎だと煩わしいのであれば、3時間毎にするとか。セキュリティ面とのバランスでチューニングする</li></ul></li><li>都度認証が許容できないのであれば、リフレッシュトークンをフロント側にもたせるのもアリ</li></ul>

まとめ

「Googleでログイン」を実装してみた〜トークンリフレッシュ編〜

<img src="https://images.microcms-assets.io/assets/b30d7661c2694503832399a83cea2137/78e8262c26564c02ab305e7d3d4000d1/image.png" alt="">↓<img src="https://images.microcms-assets.io/assets/b30d7661c2694503832399a83cea2137/082a3f9c7dca45838fe7014a999e7dd6/Screenshot%20from%202024-04-09%2023-05-30.png" alt="">↓<img src="https://images.microcms-assets.io/assets/b30d7661c2694503832399a83cea2137/44906d0330a94ceb8beefb33a698ac34/image.png" alt="">↓<img src="https://images.microcms-assets.io/assets/b30d7661c2694503832399a83cea2137/428d42b6fd7848ca8fe7eabe1600744d/Screenshot%20from%202024-04-09%2023-08-06.png" alt="">↓<img src="https://images.microcms-assets.io/assets/b30d7661c2694503832399a83cea2137/da3a5b5b5dbe4870bbafef611dd64bcd/Screenshot%20from%202024-04-09%2023-10-12.png" alt="">↓<img src="https://images.microcms-assets.io/assets/b30d7661c2694503832399a83cea2137/67678995983d475c817647e078d1b046/Screenshot%20from%202024-04-09%2023-11-42.png" alt="">↓<img src="https://images.microcms-assets.io/assets/b30d7661c2694503832399a83cea2137/94214a245aef40648d0dfc89fc36f725/Screenshot%20from%202024-04-09%2023-13-18.png" alt="">"yyyy/mm/dd hh:MM:ss ~ yyyy/mm/dd hh:MM:ss hogehoge"というパターンの投稿がされた場合に、予定に関する投稿とみなしてGoogleカレンダーに登録する仕様です。

成果物

実装のポイントとしては、<ul><li>Googleカレンダーへのアクセス権限が欲しいので、OAuthのスコープにGoogleカレンダーの読み書き権限を追加する</li><li>上記の権限が付与されたアクセストークンを使ってGoogleカレンダーAPIにアクセスしたいので、投稿APIのリクエストボディにアクセストークンを追加する</li></ul>というところです。ベースの実装ができているのでほんの少しの修正だけで実現できます。

ポイント

<pre><code>diff --git a/src/routes/+page.svelte b/src/routes/+page.svelte
index 910dc9d..ad79e35 100644
--- a/src/routes/+page.svelte
+++ b/src/routes/+page.svelte
@@ -10,7 +10,7 @@
&nbsp;		const params = {
&nbsp;			response_type: 'code',
&nbsp;			client_id: 'XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX.apps.googleusercontent.com',
-			scope: 'openid profile email',
+			scope: 'openid profile email https://www.googleapis.com/auth/calendar',
&nbsp;			redirect_uri: 'https://XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX/callback',
&nbsp;			state: Math.random().toString(32).substring(2),
&nbsp;			nonce: Math.random().toString(32).substring(2)
@@ -33,7 +33,7 @@
&nbsp;		const params = {
&nbsp;			response_type: 'token id_token',
&nbsp;			client_id: 'XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX.apps.googleusercontent.com',
-			scope: 'openid profile email',
+			scope: 'openid profile email https://www.googleapis.com/auth/calendar',
&nbsp;			redirect_uri: 'https://XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX/implicit/callback',
&nbsp;			state: Math.random().toString(32).substring(2),
&nbsp;			nonce: Math.random().toString(32).substring(2)
diff --git a/src/routes/microposts/+page.svelte b/src/routes/microposts/+page.svelte
index 7dbfe73..8bad0ee 100644
--- a/src/routes/microposts/+page.svelte
+++ b/src/routes/microposts/+page.svelte
@@ -27,7 +27,7 @@
&nbsp;
&nbsp; &nbsp; &nbsp;async function post() {
&nbsp; &nbsp; &nbsp; &nbsp; &nbsp;// 投稿
-&nbsp; &nbsp; &nbsp; &nbsp; await axios.post('https://XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX/api/microposts', {content: content}, {headers: {Authorization: `Bearer ${id_token}`}});
+&nbsp; &nbsp; &nbsp; &nbsp; await axios.post('https://XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX/api/microposts', {content: content, access_token: access_token}, {headers: {Authorization: `Bearer ${id_token}`}});
&nbsp; &nbsp; &nbsp; &nbsp; &nbsp;// リロード
&nbsp; &nbsp; &nbsp; &nbsp; &nbsp;micropostRes = await axios.get('https://nfk13r40e6.execute-api.ap-northeast-1.amazonaws.com/api/microposts', {headers: {Authorization: `Bearer ${id_token}`}});
&nbsp; &nbsp; &nbsp; &nbsp; &nbsp;console.log(micropostRes);</code></pre>

フロントエンド

<pre><code>diff --git a/app.py b/app.py
index bd01a93..df4073e 100644
--- a/app.py
+++ b/app.py
@@ -3,6 +3,7 @@ import logging
&nbsp;import requests
&nbsp;import boto3
&nbsp;import urllib
+from datetime import datetime, timedelta, timezone
&nbsp;from chalicelib.models import Microposts
&nbsp;from chalicelib.utils import login
&nbsp;
@@ -57,6 +58,27 @@ def post():
&nbsp; &nbsp; &nbsp;micropost = user.post(req["content"])
&nbsp; &nbsp; &nbsp;micropost.save()
&nbsp;
+&nbsp; &nbsp; if "access_token" in req:
+&nbsp; &nbsp; &nbsp; &nbsp; start, end, summary = _parse_schedule(req["content"])
+&nbsp; &nbsp; &nbsp; &nbsp; if start and end and summary:
+&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; app.log.info(f"googleカレンダーに予定({summary})を作成します")
+&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; token = req["access_token"]
+&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; res = requests.post(
+&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; "https://www.googleapis.com/calendar/v3/calendars/primary/events",
+&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; headers={"Authorization": f"Bearer {token}"},
+&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; json={
+&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; "summary": summary,
+&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; "description": "これはサンプルアプリで作成した予定です",
+&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; "start": {"dateTime": start.isoformat()},
+&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; "end": {"dateTime": end.isoformat()},
+&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; },
+&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; )
+&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; if res.status_code &gt;= 300:
+&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; app.log.error(res.json())
+&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; return Response(body={"message": "server error"}, status_code=500)
+
+&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; app.log.info(f"googleカレンダーに予定({summary})を作成しました")
+
&nbsp; &nbsp; &nbsp;return Response(body={"posted_at": micropost.postedAt.isoformat()}, status_code=201)
&nbsp;
&nbsp;
@@ -70,3 +92,23 @@ def get_list():
&nbsp; &nbsp; &nbsp;posts = Microposts.query(user.id)
&nbsp; &nbsp; &nbsp;res = [post.to_simple_dict() for post in posts]
&nbsp; &nbsp; &nbsp;return Response(body=res, status_code=200)
+
+
+def _parse_schedule(schedule_str):
+&nbsp; &nbsp; # 文字列をスペースで分割して情報を取得
+&nbsp; &nbsp; parts = schedule_str.split()
+
+&nbsp; &nbsp; if len(parts) &lt; 5 or parts[2] != "~":
+&nbsp; &nbsp; &nbsp; &nbsp; return None, None, None
+
+&nbsp; &nbsp; # 日付と時間をパースしてdatetimeオブジェクトに変換
+&nbsp; &nbsp; start_str = f"{parts[0]} {parts[1]}"
+&nbsp; &nbsp; end_str = f"{parts[3]} {parts[4]}"
+
+&nbsp; &nbsp; start = datetime.strptime(start_str, "%Y/%m/%d %H:%M").replace(tzinfo=timezone(timedelta(hours=9)))
+&nbsp; &nbsp; end = datetime.strptime(end_str, "%Y/%m/%d %H:%M").replace(tzinfo=timezone(timedelta(hours=9)))
+
+&nbsp; &nbsp; # サマリを取得
+&nbsp; &nbsp; summary = " ".join(parts[5:])
+
+&nbsp; &nbsp; return start, end, summary</code></pre>

バックエンド

実装

今回はGoogleカレンダー権限をスコープに追加してアクセスする実装を試してみました。今回はAPIの中で直接GoogleカレンダーAPIを叩いてしまっていますが、Googleカレンダーに登録するまでユーザを待たせてしまうのも微妙なので、非同期で登録するようにしたほうがいいと思いました。その場合は非同期キューにアクセストークンを含ませたリクエストを登録する形になりそうです。今回、IDトークンはAuthorizationヘッダに含ませていますが、アクセストークンはリクエストボディに含ませました。なんか不格好な気がしますが、一般的なOIDCを利用したAPIの設計はどうするのが普通なんでしょうか・・・ 今後やってみたいこととしては、<ul><li>トークンのリフレッシュに対応する</li><li>ログアウトに対応する</li><li>他のIDPを利用する</li></ul>などがあります。際限なく出てきますね・・・また実装でき次第記事にしようと思います。

<a href="https://developers.google.com/calendar/api/v3/reference?hl=ja" target="_blank" rel="noopener noreferrer">GoogleカレンダーAPIリファレンス</a>

参考

さいごに

「Googleでログイン」を実装してみた（その４）

<img src="https://images.microcms-assets.io/assets/b30d7661c2694503832399a83cea2137/733233b1b8884371bcb20181d0911fa7/image.png" alt="">↓<img src="https://images.microcms-assets.io/assets/b30d7661c2694503832399a83cea2137/2a750075287c4dbb96059adc4ed93155/Screenshot%20from%202024-04-01%2022-59-54.png" alt="">↓<img src="https://images.microcms-assets.io/assets/b30d7661c2694503832399a83cea2137/cf213cf0d3d0442f8f62e6ad63e88130/image.png" alt="">↓<img src="https://images.microcms-assets.io/assets/b30d7661c2694503832399a83cea2137/ef375ca6f364478397e86f9703993e61/Screenshot%20from%202024-04-01%2023-02-53.png" alt="">↓<img src="https://images.microcms-assets.io/assets/b30d7661c2694503832399a83cea2137/d3a28bba2ba843908323d1f8b0ac1526/Screenshot%20from%202024-04-01%2023-12-44.png" alt="">短文を投稿するのと自分の投稿を一覧表示するシンプルな画面を作りました。ちなみに、投稿画面だけちょっといい感じのスタイルになってるのはChatGPTさんに作ってもらったからです。html+cssだったらかなり上出来でいいなと思いました。

<img src="https://images.microcms-assets.io/assets/b30d7661c2694503832399a83cea2137/03a5facc8c3f4d91bf2cad40c35d2487/google_oauth_example_dynamo.png" alt="">追加の要素としては、データ永続化層が必要なので、DynamoDBが増えたというところだけです。

インフラ

認証（IDトークンを取得する）フローについては前回までの内容と同じなので省略します。認証後のフローとしては、IDトークン・アクセストークンをセッションストレージに保存し、それを持ってアプリ固有の保護対象リソースにアクセスするAPIを呼び出します。今回は投稿機能ということで、投稿内容を一覧取得するAPIと、投稿するAPIの2本を作成しました。 以下は投稿時のフロー図です。認可サーバのユーザ情報取得APIと投稿API、投稿一覧取得APIの計3本のAPIを叩きます。<img src="https://images.microcms-assets.io/assets/b30d7661c2694503832399a83cea2137/65d87407f98545dcaa8a7fedd281e50e/oauth2.0_dynamo.png" alt="">

フロー図

Users<ul><li>issuer（パーティションキー）</li><li>subject（ソートキー）</li><li>id</li><li>createdAt</li><li>updatedAt</li></ul> Microposts<ul><li>userId（パーティションキー）</li><li>postedAt（ソートキー）</li><li>content</li><li>createdAt</li><li>updatedAt</li></ul> Usersの用途としては、IDトークンのissとsubからアプリ固有のidにマッピングするのが目的です。IDトークンの仕様上、issとsubの組み合わせでグローバルに一意になることが保証されるためです。こうしておくことで、もし他のIDProviderが増えても問題ない作りになっています。 Micropostsが投稿を保存するためのテーブルです。主にユーザに紐づく投稿を一覧取得する目的なので、userId, postedAtの複合主キーとしました。ただ、投稿を一意に指定できるIDもあったほうが良かったかもしれません。今の形だと、例えば特定の投稿を更新したい場合に、「自分が投稿した投稿日時yyyy-MM-dd hh:mm:ssの投稿を更新してください」のようなぎこちない指定方法になってしまうためです。

テーブル設計

設計

src/routes/callback/+page.svelte<pre><code>@@ -1,4 +1,5 @@
&nbsp;&lt;script lang="ts"&gt;
+	import { goto } from '$app/navigation';
&nbsp;	import { error } from '@sveltejs/kit';
&nbsp;	import axios, { type AxiosResponse } from 'axios';
&nbsp;	import { onMount } from 'svelte';
@@ -22,6 +23,10 @@
&nbsp;			code: queryParams.code,
&nbsp;		});
&nbsp;
+		// トークンをセッションストレージに保存
+		sessionStorage.setItem('access_token', res.data.access_token);
+		sessionStorage.setItem('id_token', res.data.id_token);
+
&nbsp;		// userinfoエンドポイントにアクセス
&nbsp;		const discoverDoc = JSON.parse(sessionStorage.getItem('discoverDoc') ?? '');
&nbsp;		userInfoRes = await axios.get(discoverDoc.userinfo_endpoint, {headers: {Authorization: `Bearer ${res.data.access_token}`}});
@@ -32,6 +37,7 @@
&nbsp;{#if userInfoRes}
&nbsp;	&lt;h1&gt;{userInfoRes.data?.name}&lt;/h1&gt;
&nbsp;	&lt;img src={userInfoRes.data?.picture} alt="facePicture" /&gt;
+	&lt;button on:click={() =&gt; goto("/microposts")}&gt;投稿&lt;/button&gt;
&nbsp;{:else}
&nbsp;	&lt;h1&gt;ログインしています...&lt;/h1&gt;
&nbsp;{/if}</code></pre> src/routes/microposts/+page.svelte<pre><code>&lt;script lang="ts"&gt;
 import axios, { type AxiosResponse } from 'axios';
 import dayjs from 'dayjs';
 import { onMount } from "svelte";

 let access_token: string;
 let id_token: string;
 let userInfoRes: AxiosResponse;
 let micropostRes: AxiosResponse;
 let content: string;

 onMount(async () =&gt; {
 // セッションストレージからトークンを取得
 access_token = sessionStorage.getItem('access_token') ?? '';
 id_token = sessionStorage.getItem('id_token') ?? '';

 // userinfoエンドポイントにアクセス
 const discoverDoc = JSON.parse(sessionStorage.getItem('discoverDoc') ?? '');
 userInfoRes = await axios.get(discoverDoc.userinfo_endpoint, {headers: {Authorization: `Bearer ${access_token}`}});
 console.log(userInfoRes);

 // 投稿一覧取得APIにアクセス
 micropostRes = await axios.get('https://XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX/microposts', {headers: {Authorization: `Bearer ${id_token}`}});
 console.log(micropostRes);
 });

 async function post() {
 // 投稿
 await axios.post('https://XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX/microposts', {content: content}, {headers: {Authorization: `Bearer ${id_token}`}});
 // リロード
 micropostRes = await axios.get('https://XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX/microposts', {headers: {Authorization: `Bearer ${id_token}`}});
 console.log(micropostRes);
 // インプットを空にする
 content = ''
 }
&lt;/script&gt;

&lt;h1&gt;投稿&lt;/h1&gt;
{#if userInfoRes &amp;&amp; micropostRes}
&lt;div style="max-width: 600px; margin: 20px auto;"&gt;
 {#each micropostRes.data as micropost}
 &lt;div style="border-bottom: 1px solid #ccc; padding: 10px 0; display: flex; align-items: center;"&gt;
 &lt;img style="width:50px; height:50px; border-radius:50%; margin-right:10px;" src={userInfoRes.data.picture} alt="facePicture"&gt;
 &lt;div style="flex-grow: 1;"&gt;
 &lt;h3 style="margin:0; font-size:18px;"&gt;{userInfoRes.data.name}&lt;/h3&gt;
 &lt;p style="margin:5px0; font-size:14px; color:#555;"&gt;{micropost.content}&lt;/p&gt;
 &lt;p style="margin:5px0; font-size:14px; color:#555;"&gt;{dayjs(micropost.postedAt).format('YYYY-MM-DD HH:mm:ss')}&lt;/p&gt;
 &lt;/div&gt;
 &lt;/div&gt;
 {/each}
 &lt;div style="padding: 10px 0; display: flex; align-items: center;"&gt;
 &lt;div style="flex-grow: 1;"&gt;
 &lt;input style="display: inline-block; width: calc(100% - 6em);" type="text" bind:value={content} /&gt;
 &lt;button on:click={post}&gt;投稿&lt;/button&gt;
 &lt;/div&gt;
 &lt;/div&gt;
&lt;/div&gt;
{/if}</code></pre>

app.py<pre><code>@@ -3,6 +3,8 @@ import logging
&nbsp;import requests
&nbsp;import boto3
&nbsp;import urllib
+from chalicelib.models import Microposts
+from chalicelib.utils import login
&nbsp;
&nbsp;
&nbsp;app = Chalice(app_name="XXXXXXXXXXXXXXXXX")
@@ -39,3 +41,32 @@ def index():
&nbsp; &nbsp; &nbsp; &nbsp; &nbsp;return Response(body={"message": "server error"}, status_code=500)
&nbsp;
&nbsp; &nbsp; &nbsp;return res.json()
+
+
+@app.route("/microposts", methods=["POST"], cors=CORSConfig(allow_origin="https://XXXXXXXXXXXXXXXXXXXXXXXXX"))
+def post():
+&nbsp; &nbsp; try:
+&nbsp; &nbsp; &nbsp; &nbsp; user = login(app, CLIENT_ID)
+&nbsp; &nbsp; except Exception:
+&nbsp; &nbsp; &nbsp; &nbsp; return Response(body={"message": "server error"}, status_code=500)
+
+&nbsp; &nbsp; req = app.current_request.json_body or {}
+&nbsp; &nbsp; if "content" not in req:
+&nbsp; &nbsp; &nbsp; &nbsp; return Response(body={"message": "server error"}, status_code=500)
+
+&nbsp; &nbsp; micropost = user.post(req["content"])
+&nbsp; &nbsp; micropost.save()
+
+&nbsp; &nbsp; return Response(body={"posted_at": micropost.postedAt.isoformat()}, status_code=201)
+
+
+@app.route("/microposts", methods=["GET"], cors=CORSConfig(allow_origin="https://XXXXXXXXXXXXXXXXXXXXXXX"))
+def get_list():
+&nbsp; &nbsp; try:
+&nbsp; &nbsp; &nbsp; &nbsp; user = login(app, CLIENT_ID)
+&nbsp; &nbsp; except Exception:
+&nbsp; &nbsp; &nbsp; &nbsp; return Response(body={"message": "server error"}, status_code=500)
+
+&nbsp; &nbsp; posts = Microposts.query(user.id)
+&nbsp; &nbsp; res = [post.to_simple_dict() for post in posts]
+&nbsp; &nbsp; return Response(body=res, status_code=200)</code></pre> chalicelib/utils/login.py<pre><code>import jwt
from chalice import Chalice
from chalicelib.models import Users


def login(app: Chalice, client_id: str) -&gt; Users:
 if "Authorization" not in app.current_request.headers:
 raise Exception

 id_token = app.current_request.headers["Authorization"].removeprefix("Bearer ")

 jwks_client = jwt.PyJWKClient("https://www.googleapis.com/oauth2/v3/certs")
 try:
 signing_key = jwks_client.get_signing_key_from_jwt(id_token)
 payload = jwt.decode(
 id_token,
 signing_key.key,
 algorithms=["RS256"],
 audience=client_id,
 )
 except Exception as e:
 app.log.error(e)
 raise Exception

 count = Users.count(payload["iss"], Users.subject == payload["sub"])
 if count == 0:
 u = Users(issuer=payload["iss"], subject=payload["sub"])
 u.save()

 return Users.get(payload["iss"], payload["sub"])</code></pre> 一旦app.pyにベタ書きで済ませたかったのですが、UsersのインスタンスをreturnしようとするとChaliceResponceでラッピングされてしまうようだったので、utilに切り出しました。

今回、IDトークンを利用する実装を行ったので、nonce検証に対応しました。nonce検証はインプリシットフローでは必須となっています。そもそもnonce検証の目的は、リプレイアタックへの対策です。リプレイアタックとは簡単に言うと、URLのフラグメントに設定されたトークンだけを別のトークンに置き換える攻撃のことです。インプリシットフローでは必須と書きましたが、その理由としてはURLにトークンが含まれるため、履歴などから簡単に抜き取れるためです。ただ、フロント実装はいくらでも手元で変更できるので、あまり対策になっていない気もします・・・あと、認可コードフローでもURLに認可コード含まれない？と一瞬思いましたが認可コードは1回しか使えないので使用済みのものを抜き取っても使えないですね。認可コードフロー強し。 src/routes/implicit/callback/+page.svelte<pre><code>@@ -22,6 +22,13 @@
&nbsp;			error(401, { message: 'Invalid state parameter.' });
&nbsp;		}
&nbsp;
+		// nonceの検証
+		const sessionNonce = sessionStorage.getItem('nonce');
+		const payload = JSON.parse(decodeURIComponent(atob(fragmentArgs.id_token.split('.')[1])));
+		if (sessionNonce != payload.nonce) {
+			error(401, { message: 'Invalid nonce parameter.' });
+		}
+
&nbsp;		// トークンをセッションストレージに保存
&nbsp;		sessionStorage.setItem('access_token', fragmentArgs.access_token);
&nbsp;		sessionStorage.setItem('id_token', fragmentArgs.id_token);</code></pre>

nonceに対応する

今回は、アプリ固有の機能として投稿機能を実装し、その中でIDトークンを利用するようになったことからnonceの検証にも対応しました。

最後に

「Googleでログイン」を実装してみた（その３）

<img src="https://images.microcms-assets.io/assets/b30d7661c2694503832399a83cea2137/55a5e7124d97406eb7560dca4d9a56d3/Screenshot%20from%202024-03-26%2022-18-30.png" alt="">↓<img src="https://images.microcms-assets.io/assets/b30d7661c2694503832399a83cea2137/14c358cc482e4e629a0e37c7a6042a0c/Screenshot%20from%202024-03-26%2022-20-00.png" alt="">↓<img src="https://images.microcms-assets.io/assets/b30d7661c2694503832399a83cea2137/41963139eece4a459bac601f42c9f7bc/Screenshot%20from%202024-03-26%2022-21-12.png" alt="">ぶっちゃけ見た目的にはほとんど何も変わってないです・・・

<img src="https://images.microcms-assets.io/assets/b30d7661c2694503832399a83cea2137/24752de02e534d318b401d8af6e17ec5/google_oauth_example_implicit.png" alt="">認可エンドポイントしか使用しないのでバックエンドは不要になりました。

<img src="https://images.microcms-assets.io/assets/b30d7661c2694503832399a83cea2137/1c656de1d3d3404a97999e442297218d/oauth2.0_implicit.png" alt="">認可コードフローの場合は認可エンドポイントから認可コードが返ってきて、それをアクセストークンと交換する必要があったのですが、インプリシットフローの場合は直接アクセストークンが返ってきます。前回よりもぐっとシンプルになりました。

認可コードフローが実装できればインプリシットフローはほぼ同じです。以下、フロント実装の差分です。<pre><code>diff --git a/src/routes/+page.svelte b/src/routes/+page.svelte
index 659e6e5..910dc9d 100644
--- a/src/routes/+page.svelte
+++ b/src/routes/+page.svelte
@@ -23,7 +23,31 @@
&nbsp;		const href = `${discoverRes.data.authorization_endpoint}?response_type=${params.response_type}&amp;client_id=${params.client_id}&amp;scope=${params.scope}&amp;redirect_uri=${params.redirect_uri}&amp;state=${params.state}&amp;nonce=${params.nonce}`;
&nbsp;		location.href = href;
&nbsp;	}
+
+	async function implicitLogin() {
+		// ディスカバリドキュメントを参照
+		const discoverRes = await axios.get('https://accounts.google.com/.well-known/openid-configuration');
+		sessionStorage.setItem('discoverDoc', JSON.stringify(discoverRes.data));
+
+		// 認可エンドポイントへのリクエストパラメータ設定
+		const params = {
+			response_type: 'token id_token',
+			client_id: 'XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX.apps.googleusercontent.com',
+			scope: 'openid profile email',
+			redirect_uri: 'https://XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX/implicit/callback',
+			state: Math.random().toString(32).substring(2),
+			nonce: Math.random().toString(32).substring(2)
+		};
+
+		sessionStorage.setItem('state', params.state);
+		sessionStorage.setItem('nonce', params.nonce);
+
+		// 認可エンドポイントへ遷移
+		const href = `${discoverRes.data.authorization_endpoint}?response_type=${params.response_type}&amp;client_id=${params.client_id}&amp;scope=${params.scope}&amp;redirect_uri=${params.redirect_uri}&amp;state=${params.state}&amp;nonce=${params.nonce}`;
+		location.href = href;
+	}
&nbsp;&lt;/script&gt;
&nbsp;
&nbsp;&lt;h1&gt;ログイン&lt;/h1&gt;
&nbsp;&lt;p&gt;&lt;button on:click={login}&gt;Googleでログイン&lt;/button&gt;&lt;/p&gt;
+&lt;p&gt;&lt;button on:click={implicitLogin}&gt;Googleでログイン(Implicit)&lt;/button&gt;&lt;/p&gt;
diff --git a/src/routes/implicit/callback/+page.svelte b/src/routes/implicit/callback/+page.svelte
new file mode 100644
index 0000000..efac8cb
--- /dev/null
+++ b/src/routes/implicit/callback/+page.svelte
@@ -0,0 +1,36 @@
+&lt;script lang="ts"&gt;
+	import { error } from "@sveltejs/kit";
+	import axios, { type AxiosResponse } from "axios";
+	import { onMount } from "svelte";
+	let userInfoRes: AxiosResponse;
+
+&nbsp; &nbsp; onMount(async () =&gt; {
+&nbsp; &nbsp; &nbsp; &nbsp; const fragment = window.location.hash;
+&nbsp; &nbsp; &nbsp; &nbsp; const keyValueArgs = fragment.substring(1).split('&amp;');
+&nbsp; &nbsp; &nbsp; &nbsp; let fragmentArgs: Record&lt;string, string&gt; = {};
+&nbsp; &nbsp; &nbsp; &nbsp; for (const keyValue of keyValueArgs) {
+&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; const [key, value] = keyValue.split('=');
+&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; fragmentArgs[decodeURIComponent(key)] = decodeURIComponent(value);
+&nbsp; &nbsp; &nbsp; &nbsp; }
+&nbsp; &nbsp; &nbsp; &nbsp; console.log(fragmentArgs);
+
+		// 送られてきたstateが一致しているか確認
+		const sessionState = sessionStorage.getItem('state');
+
+		if (fragmentArgs.state != sessionState) {
+			error(401, { message: 'Invalid state parameter.' });
+		}
+
+&nbsp; &nbsp; &nbsp; &nbsp; // userinfoエンドポイントにアクセス
+		const discoverDoc = JSON.parse(sessionStorage.getItem('discoverDoc') ?? '');
+		userInfoRes = await axios.get(discoverDoc.userinfo_endpoint, {headers: {Authorization: `Bearer ${fragmentArgs.access_token}`}});
+		console.log(userInfoRes);
+&nbsp; &nbsp; });
+&lt;/script&gt;
+
+{#if userInfoRes}
+	&lt;h1&gt;{userInfoRes.data?.name}&lt;/h1&gt;
+	&lt;img src={userInfoRes.data?.picture} alt="facePicture" /&gt;
+{:else}
+	&lt;h1&gt;ログインしています...&lt;/h1&gt;
+{/if}</code></pre>

設計も実装もシンプルなインプリシットフローは魅力的に見えてしまうのですが、OAuth2.0で推奨されているのは認可コードフローの方です。インプリシットフローではアクセストークンやIDトークンが直接コールバックエンドポイントのURLのフラグメントとして付与されます。URLフラグメントはブラウザの履歴に残るため、履歴を閲覧できる立場であれば過去に発行されたトークンを抜き取ることが簡単にできてしまいます。対策としては、トークンの有効期限を短めに設定することが重要だと思います。 他にもセキュリティ的に考慮すべき点がいくつかあるようですが、深掘っていくとそれだけでかなりのボリュームになりそうなので、別の機会に譲ろうと思います。

インプリシットフローのセキュリティホールについて

今回は、OIDCのインプリシットフローを実装してみました。実装してみて、認証コードフローをしっかりと押さえていればよりシンプルな形になっただけなのでかなりハードルが低いように思えました。

「Googleでログイン」を実装してみた（その２）

<img src="https://images.microcms-assets.io/assets/b30d7661c2694503832399a83cea2137/b590b4bc231e423a9f3637ae996dae9f/image.png" alt="">↓<img src="https://images.microcms-assets.io/assets/b30d7661c2694503832399a83cea2137/bd7ce0a4b28c42168648346657a5b010/Screenshot%20from%202024-03-23%2018-20-57.png" alt="">↓<img src="https://images.microcms-assets.io/assets/b30d7661c2694503832399a83cea2137/9c676aa0560942bfaa9d600c65417704/image.png" alt="">↓<img src="https://images.microcms-assets.io/assets/b30d7661c2694503832399a83cea2137/32d6a3e9b18549e4bb0e4b4f6c1fb69c/Screenshot%20from%202024-03-23%2018-23-11.png" alt="">たったのこれだけです。

今回は以下のようなインフラ構成で実現しました。 <img src="https://images.microcms-assets.io/assets/b30d7661c2694503832399a83cea2137/81ae802b06b645568065fb11d864edf9/google_oauth_example.png" alt="">ざっくりと説明するとフロントエンドがCloudFront + S3で静的サイト配信しJSで認可コードを取得、バックエンドがAPI Gateway + Lambdaでフロントで取得した認可コードを使ってトークン取得を取得します。

図にするとこんな感じです。 <img src="https://images.microcms-assets.io/assets/b30d7661c2694503832399a83cea2137/b0ae281a05b04625a7f72893015b9b6b/oauth2.0_code_spa.png" alt=""> <ol><li>アプリのURLにアクセスするとCloudFrontからJSなどの静的コンテンツが返される</li><li>ブラウザ上のJSから、Googleの認可エンドポイントにアクセスする<ol><li>その際、リクエストにクライアントIDとコールバックURLを含める</li></ol></li><li>Googleの認可画面が表示されるので、ユーザが（ログインしていなければログインした上で）認可を行う</li><li>認可エンドポイントにアクセス時に渡していたコールバックURLにリダイレクトする<ol><li>その際、認可コードを受け取る</li></ol></li><li>ブラウザ上のJSから、API Gatewayに対してトークン取得リクエストを送る<ol><li>その際、リクエストに認可コードを含める</li></ol></li><li>API Gatewayからトークンエンドポイントにアクセスし、アクセストークンやIDトークンなどを受け取る</li><li>ブラウザ上のJSから、Googleのuserinfoエンドポイントにアクセスしユーザ情報を取得する<ol><li>その際、リクエストにアクセストークンを含める</li></ol></li></ol>

まず考えられるのは認可コードをバックエンドに送信していますが、このバックエンドはSSGからのリクエストを受け付ける必要がありパブリックアクセスを許容する必要があるので、どこからでもアクセスできてしまいます。そうすると攻撃者が総当り的に認可コードを大量に送ると、ユーザのアクセストークンを奪うことができてしまう可能性があるかなと思います。当然CORSは設定していますが、APIを直で叩く場合は関係ないです。ただ少なくとも使用済みの認可コードは使えなくなるので、実際にその攻撃が成功する可能性は極めて低いと思います。 他には、同じくフロント・バック通信のところで、リクエスト・レスポンスを平文でやり取りしているため、万が一通信が傍受されると同様にアクセストークンが奪われる可能性がありそうです。公開鍵暗号を使おうとしても結局フロントがSSGなので秘密鍵を安全に保管することができないと思います。ただ、Googleからはアクセストークンがそのまま送られてくるわけで、お門違いな心配をしているような気もします。

セキュリティ的にどうなのか考えてみる

セキュリティの点はすぐに結論がでなそうなのでじっくり考えようと思います。その他で今後やってみたいこととしては、<ul><li>インプリシットフローを試す</li><li>保護対象リソースを構築して実際にアプリ固有のユーザ情報を取得する</li><li>認可スコープを増やしてGoogleカレンダーなどにアクセスしてみる</li></ul>このあたりが実装できたらまた記事にしたいと思います。

ネクストアクション

フロントは個人的にシンプルで好きなsvelteを使っています。 src/routes/+page.svelte<pre><code>&lt;script lang="ts"&gt;
 import axios from "axios";

 async function login() {
 // ディスカバリドキュメントを参照
 const discoverRes = await axios.get('https://accounts.google.com/.well-known/openid-configuration');
 sessionStorage.setItem('discoverDoc', JSON.stringify(discoverRes.data));

 // 認可エンドポイントへのリクエストパラメータ設定
 const params = {
 response_type: 'code',
 client_id: 'XXXXXXXXXXXXXXXXXXXXXX.apps.googleusercontent.com',
 scope: 'openid profile email',
 redirect_uri: 'XXXXXXXXXXXXXXXXXXXXXXXXXX/callback',
 state: Math.random().toString(32).substring(2),
 nonce: Math.random().toString(32).substring(2)
 };

 sessionStorage.setItem('state', params.state);
 sessionStorage.setItem('nonce', params.nonce);

 // 認可エンドポイントへ遷移
 const href = `${discoverRes.data.authorization_endpoint}?response_type=${params.response_type}&amp;client_id=${params.client_id}&amp;scope=${params.scope}&amp;redirect_uri=${params.redirect_uri}&amp;state=${params.state}&amp;nonce=${params.nonce}`;
 location.href = href;
 }
&lt;/script&gt;

&lt;h1&gt;ログイン&lt;/h1&gt;
&lt;p&gt;&lt;button on:click={login}&gt;Googleでログイン&lt;/button&gt;&lt;/p&gt;</code></pre> src/routes/callback/+page.svelte<pre><code>&lt;script lang="ts"&gt;
 import { error } from '@sveltejs/kit';
 import axios, { type AxiosResponse } from 'axios';
 import { onMount } from 'svelte';
 let queryParams;
 let userInfoRes: AxiosResponse;

 onMount(async () =&gt; {
 // コールバックエンドポイントにリダイレクトしてきた際のクエリパラメータを取得
 const params = new URLSearchParams(window.location.search);
 queryParams = Object.fromEntries(params.entries());

 // 送られてきたstateが一致しているか確認
 const sessionState = sessionStorage.getItem('state');

 if (queryParams.state != sessionState) {
 error(401, { message: 'Invalid state parameter.' });
 }

 // バックエンドからトークン取得
 const res = await axios.post('https://XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX/get_token', {
 code: queryParams.code,
 });

 // userinfoエンドポイントにアクセス
 const discoverDoc = JSON.parse(sessionStorage.getItem('discoverDoc') ?? '');
 userInfoRes = await axios.get(discoverDoc.userinfo_endpoint, {headers: {Authorization: `Bearer ${res.data.access_token}`}});
 console.log(userInfoRes);
 });
&lt;/script&gt;

{#if userInfoRes}
 &lt;h1&gt;{userInfoRes.data?.name}&lt;/h1&gt;
 &lt;img src={userInfoRes.data?.picture} alt="facePicture" /&gt;
{:else}
 &lt;h1&gt;ログインしています...&lt;/h1&gt;
{/if}</code></pre>

バックエンドは個人的に好きなScalaとかを使いたかったのですがCI/CDの構築に詰まったので一旦安定のpython(Chalice)で作りました<pre><code>from chalice import Chalice, Response, CORSConfig
import logging
import requests
import boto3
import urllib

app = Chalice(app_name="XXXXXXXXXXXXXXXXXX")
app.log.setLevel(logging.DEBUG)

ssm = boto3.client("ssm")

CLIENT_ID = ssm.get_parameter(Name="/google_oauth/client_id")["Parameter"]["Value"]
CLIENT_SECRET = ssm.get_parameter(Name="/google_oauth/client_secret")["Parameter"]["Value"]
REDIRECT_URI = ssm.get_parameter(Name="/google_oauth/redirect_uri")["Parameter"]["Value"]


@app.route("/get_token", methods=["POST"], cors=CORSConfig(allow_origin="https://XXXXXXXXXXXXXXXXXXXXXXXXXXX"))
def index():
 req = app.current_request.json_body or {}
 if "code" not in req:
 return Response(body={"message": "server error"}, status_code=500)

 body = {
 "code": req["code"],
 "client_id": CLIENT_ID,
 "client_secret": CLIENT_SECRET,
 "redirect_uri": REDIRECT_URI,
 "grant_type": "authorization_code",
 }
 encoded = urllib.parse.urlencode(body)
 res = requests.post(
 "https://oauth2.googleapis.com/token",
 headers={"Content-Type": "application/x-www-form-urlencoded"},
 data=encoded,
 )
 if res.status_code &gt;= 300:
 app.log.error(res.json())
 return Response(body={"message": "server error"}, status_code=500)

 return res.json()</code></pre>

(おまけ)実装

<ul><li><a href="https://amzn.asia/d/6KPSQnn" target="_blank" rel="noopener noreferrer">OAuth徹底入門</a></li><li><a href="https://amzn.asia/d/8c7FfOw" target="_blank" rel="noopener noreferrer">OpenID Connect入門</a></li></ul>

参考文献

「Googleでログイン」を実装してみた（その１）

APIViewの継承時にauthenticationclassesを設定すると、その認証が必要になり、またpermissionclassesを設定するとその権限を持っているものしかAPIViewを起動することができなくなる。(認可)認証と承認の違いだった。以下ものすごくわかりやすい例<blockquote>ある家族が休暇で留守の間、その家のペットを世話するために訪れた人が、施錠されたドアの前に立っている状況を考えてみましょう。この人物には、以下が必要です。 認証：この場合は、家の鍵です。施錠されたドアは、正しい鍵を持つ人だけが開けることができます。これは、システムが正しい資格情報を持つユーザーにのみアクセス権を付与する認証と同じことです。 承認：この場合は、家に入る許可です。家の中では、キッチンに入り、ペットフードを保管している食器棚を開けることができます。しかし、昼寝のために寝室に入る許可（認可）は与えられないでしょう。</blockquote> 参考サイト↓https://torajirousan.hatenadiary.jp/entry/2021/01/01/192820https://www.okta.com/jp/identity-101/authentication-vs-authorization/

認証と承認の違い

authentication_classesとpermission_classesの違い

docker-composeは別々にやるべし。非同期でappがmysqlコンテナ立ち上がるのを待たずに実行してしまうため。（depends_onは起動順番は制御できるけど稼働順序は制御できない）<pre><code>docker-compose up -d db
docker-compose up app&nbsp;</code></pre> ので↑のように順に実行する。

原因

解決方法

docker compose時のappコンテナ立ち上げエラー

Githubのmainブランチが更新されたら自動デプロイできるようにする具体的には下記の手順を自動で行えるようにします。<ol><li>Githubのmainブランチを変更</li><li>GithubActionsが作動し、S3にファイルをアップロード</li><li>Lambda関数が発火し、CloudFrontのキャッシュを削除する</li></ol> 図にするとこんな感じです<img src="https://images.microcms-assets.io/assets/b30d7661c2694503832399a83cea2137/4ed975a03ea9499b80ce3901f3f296a0/image.png" alt="">

今回やりたいこと

まずは事前準備として、GithubActionsからCLIでS3のバケットにアクセスするための権限を持っているIAMユーザーを作成します。 1.ユーザー名は分かりやすく「GithubActions」に設定します。<img src="https://images.microcms-assets.io/assets/b30d7661c2694503832399a83cea2137/41297af906ad4982b5bf3bc0106e7fbf/image.png" alt="">2.S3へのアクセスを付与します。　「ポリシーを直接アタッチする」を選択し、<a style="color:inherit" href="https://us-east-1.console.aws.amazon.com/iam/home?region=ap-northeast-1#/policies/details/arn%3Aaws%3Aiam%3A%3Aaws%3Apolicy%2FAmazonS3FullAccess" target="_blank" rel="noopener noreferrer">AmazonS3FullAccess</a>を追加<img src="https://images.microcms-assets.io/assets/b30d7661c2694503832399a83cea2137/ae26824587ee44f3baab32c4af9855c0/image.png" alt="">3.S3にアクセスするためのキーを取得します。　IAMユーザー作成後、「セキュリティ認証情報」&gt;「アクセスキーを作成」　ユースケースの選択画面では「AWS の外部で実行されるアプリケーション」を選択　　→アクセスキー、シークレットアクセスキーが発行されるのでどっかにコピーしておく 4.Githubのリポジトリにアクセスキーとシークレットアクセスキーを環境変数として設定　Githubのリポジトリの「Settings」タブのRepository secretsから登録できます。　<img src="https://images.microcms-assets.io/assets/b30d7661c2694503832399a83cea2137/c17fc1aad29e49078742db771c34c053/image.png" alt=""> これにて事前準備は完了です。

GithubActionsからS3へアクセス可能にしよう

次にGithub 側の設定です。mainブランチに変更があった際にS3へファイルをアップロードする処理を書いていきます。 導入の仕方は以下の公式ドキュメントを参照してください<a href="https://docs.github.com/ja/actions/quickstart" target="_blank" rel="noopener noreferrer">https://docs.github.com/ja/actions/quickstart</a> <code>.github/workflows</code>&nbsp;ディレクトリ配下に<code>ci.yml</code>を作成します。<pre><code>name: Build and Deploy to S3


on:
 # mainブランチへのプッシュをトリガーにする
 push:
 branches:
 - main


jobs:
 build-and-deploy:
 runs-on: ubuntu-latest
 steps:
 - name: Checkout
 uses: actions/checkout@main # リポジトリをチェックアウト 


 - name: Install Dependencies
 run: npm install
 # ビルドしてdistディレクトリ以下のファイルを更新
 - name: Build
 run: npm run build 


 - name: Deploy # S3にデプロイ 
 env:
 # IAMユーザーに作成したアクセスキー
 AWS_ACCESS_KEY_ID: ${{ secrets.AWS_ACCESS_KEY_ID }}
 AWS_SECRET_ACCESS_KEY: ${{ secrets.AWS_SECRET_ACCESS_KEY }}
 run: | # S3のバケットにデプロイ
 aws s3 sync --region ap-northeast-1 ./dist s3://nuxt-app-20240218 --delete
 aws s3 cp --recursive --region ap-northeast-1 ./dist s3://nuxt-app-20240218</code></pre> <code>git push origin main</code>コマンドを実行。無事、処理が完了したみたいです。S3にもアップロードされていることを確認できました。<img src="https://images.microcms-assets.io/assets/b30d7661c2694503832399a83cea2137/fb8c75b3b0ef4f6188ff72a3e70b4449/image.png" alt="">

ワークフローの作成

①GithubActionsを使った自動デプロイ

Python3.9を使って、関数を1から作成していきます。関数名は「delete-cache-cloudfront」としておきます。<img src="https://images.microcms-assets.io/assets/b30d7661c2694503832399a83cea2137/483aacf31399478bbf243fd36e7dd4dc/image.png" alt="">

Lambda関数の作成

Lambda関数からCloudFrontにアクセス権限を付与する必要があります。以下の手順で設定<ul><li>作成したLambda関数の設定タブの「アクセス権限」から、実行ロールのリンクをクリック</li><li>IAMロールの画面に飛ばされるので「許可の追加」から「ポリシーのアタッチ」をクリック</li><li>CloudFrontで検索すると<a href="https://us-east-1.console.aws.amazon.com/iam/home#/policies/details/arn%3Aaws%3Aiam%3A%3Aaws%3Apolicy%2FCloudFrontFullAccess" target="_blank" rel="noopener noreferrer">CloudFrontFullAccess</a>が出てくるので選択して許可を追加</li></ul><img src="https://images.microcms-assets.io/assets/b30d7661c2694503832399a83cea2137/31079a3315a541cfb3ee0f30a8fbd4cf/image.png" alt="">

アクセス権限の付与

関数の概要の「トリガーを追加」をクリック。<img src="https://images.microcms-assets.io/assets/b30d7661c2694503832399a83cea2137/60f918dfe8b54bfc89b4a825ea6d0a74/image.png" alt="">以下の内容で設定し、追加を押下<img src="https://images.microcms-assets.io/assets/b30d7661c2694503832399a83cea2137/5fc8cf095a8d49fabc0b5ff1062ad358/image.png" alt="">

トリガーの作成

Lambdaを使ったキャッシュクリア

まずは変更前の状態を確認。CloudFrontのディストリビューションのドメインにアクセス<img src="https://images.microcms-assets.io/assets/b30d7661c2694503832399a83cea2137/94d565f35cae494c947b8821b5721e85/image.png" alt="">CloudFrontのキャッシュ削除履歴最終履歴は2024年3月5日 15:03:11<img src="https://images.microcms-assets.io/assets/b30d7661c2694503832399a83cea2137/86a73a40087b42c9a2431affcdc9a9e8/image.png" alt="">今回はタイトルバーの「MyApp」の文字列を「YOKU」に書き換えます。<img src="https://images.microcms-assets.io/assets/b30d7661c2694503832399a83cea2137/b490c4d0335544b0a7b3358f3f96ccd2/image.png" alt=""> 変更をコミットして<code>git push origin main</code>を実行！ キャッシュ削除することなく、きちんと変更が反映されていました(^ ^)<img src="https://images.microcms-assets.io/assets/b30d7661c2694503832399a83cea2137/e484fe389dcb454ea7db9ffb168bb6bb/image.png" alt=""> ちなみにCloudFrontのコンソール画面のキャッシュ削除履歴も2024年3月5日 15:13:07に更新されています。<img src="https://images.microcms-assets.io/assets/b30d7661c2694503832399a83cea2137/a513f0e6d4384d809ca378d45f96102c/image.png" alt="">

動作確認！

実務でアプリを運用していくことを想定して、デプロイを仕組み化することでヒューマンエラーを防いでいきたいと思いました。

mainブランチにマージ→S3にデプロイ→CloudFrontのキャッシュ削除まで自動化してみた

<ul><li>この記事に書くこと<ul><li>S3にNuxt.jsのファイルをデプロイする方法</li><li>CloudFrontのディストリビューション作成、設定方法</li></ul></li><li>この記事に書かないこと<ul><li>S3, CloudFrontについての概要、基礎知識</li></ul></li></ul>

前提

バケット名　→今回は<code>nuxt-app-20240218</code>というバケット名で作成。オブジェクト所有者　→「ACL有効」に設定　※ACLを無効にすると、バケットのオブジェクトの公開設定ができなくなる。　　今回は静的Webホスティングとして公開するため、有効に設定デフォルトの暗号化　→無効に設定。　作成完了。<img src="https://images.microcms-assets.io/assets/b30d7661c2694503832399a83cea2137/450a1c9ed1834015ad239dd259c44395/image.png" alt=""> 作成したバケットを静的webホスティング用に設定していく。上記のバケット詳細の画面の下の方に「静的webホスティング」のセクションがあるのでそこから編集。　→静的webホスティングを有効に設定

S3バケットを新規作成～静的webホスティング設定

distディレクトリとはNuxtのプロジェクトをビルドした際に生成されるファイル群。.vue形式で記述したファイルが、htmlで作られた Web サイト用のファイルに変換されます。※distディレクトリごとアップロードしてしまうと、Webページにアクセスした際にindex.htmlがなく403となってしまうので注意！ 無事アップデート完了。<img src="https://images.microcms-assets.io/assets/b30d7661c2694503832399a83cea2137/08bc12b91b11486ea8e4a6b08cb11690/image.png?w=500&amp;h=401" alt="">

S3にNuxtのファイル(distディレクトリ配下)をアップロード

次に、https通信を実現するためにSSL証明書を発行していきます。主な手順としては以下の通りです。<ol><li>ドメインを購入（今回はお名前ドットコムを利用）</li><li>Route53でホストゾーンの設定</li><li>ACMを使ってパブリック証明書をリクエスト<ol><li>注意：CloudFrontで利用するためにはリージョンをバージニア北部に設定してリクエストを行う必要がある</li></ol></li><li>Route53でDNSレコードを作成（CNAMEタイプ）</li></ol> 詳細な手順は以下の記事を参考にしましたので参照ください。<a href="https://dev.classmethod.jp/articles/route53-domain-onamae/" target="_blank" rel="noopener noreferrer">https://dev.classmethod.jp/articles/route53-domain-onamae/</a>

SSL証明書を発行

事前準備

Origin domain　→作成したS3バケット名を入力<img src="https://images.microcms-assets.io/assets/b30d7661c2694503832399a83cea2137/f9d071a6d5e144d8bed17d90abeb78ec/image.png" alt=""> オリジンへのアクセス制限<ul><li>　OAIを作成<ul><li>OAIとは？</li><li>→CloudFront内に存在する仮想的なユーザーみたいなもの。このユーザーの権限を使ってS3へのアクセス制限を行うことができる。</li><li>今回はこのOAI（CloudFront）経由でのみS3にアクセスできるようにする。</li></ul></li><li>バケットポリシーを設計する必要があるので「はい、バケットポリシーを自動で更新します」を選択 <ul><li>CloudFront側で設定したポリシーがS3側でも自動で適用される</li></ul></li></ul>　　　<img src="https://images.microcms-assets.io/assets/b30d7661c2694503832399a83cea2137/9fede0a4dced46e7809fcd55f063e6d1/image.png" alt=""> オリジンシールドの適用　→オリジンの負荷を最小限に抑え、可用性を向上させてくれる<img src="https://images.microcms-assets.io/assets/b30d7661c2694503832399a83cea2137/ee9157e4ae4742e5bf27555bcbea9fe9/image.png" alt=""> ビューワーの設定<ul><li>Redirect HTTP to HTTPS<ul><li>httpでアクセスした際に自動でhttpsにリダイレクトしてくれる</li></ul></li><li>今回はWebサイトの閲覧が目的なのでGET, HEADメソッドのみ</li><li>今回はWebサイトの公開が目的なのでNoに設定 （yesにするとキーペアを作成する）</li></ul><img src="https://images.microcms-assets.io/assets/b30d7661c2694503832399a83cea2137/5750c900110a48b1a3b9d1691cc3508d/image.png" alt="">https通信を実現させるための設定<ul><li>代替ドメイン名に取得したドメイン名を入力</li><li>SSL証明書はACMで発行した証明書を選択</li></ul><img src="https://images.microcms-assets.io/assets/b30d7661c2694503832399a83cea2137/3e37326d675244b5ac614b7c6e180f47/image.png" alt=""> ディストリビューション作成完了！<img src="https://images.microcms-assets.io/assets/b30d7661c2694503832399a83cea2137/4f0e0bf736524bb6895b15225969fa16/image.png" alt="">

作成時の設定

CloudFront ディストリビューションを新規で作成

<ol><li>Route53で作成したホストゾーンから、「レコードを作成」を選択</li><li>エイリアスを有効にして、「トラフィックのルーティング先」をCloudFrontに設定すると自動でディストリビューションが表示される</li></ol><img src="https://images.microcms-assets.io/assets/b30d7661c2694503832399a83cea2137/7e2e41d044b64baea572f4cdfa26d080/image.png" alt="">

ドメインとの関連付け

S3＞バケット＞バケット名＞バケットポリシーを編集<ul><li>①があらかじめS3に設定したバケットポリシー。（誰でもアクセスできる状態）</li><li>②がディストリビューション作成時に作成したバケットポリシー （OAIを新規作成して、そのCloudFrontからでしかアクセスできない）<ul><li>①のバケットポリシーを削除</li></ul></li></ul><img src="https://images.microcms-assets.io/assets/b30d7661c2694503832399a83cea2137/73ae18372d9e463a9b413d58e5e14bfc/image.png" alt=""> この設定により、変更前はS3のオブジェクトURIへ直接アクセスしてページを閲覧できていましたが、変更後はForbiddenで閲覧できなくなりました

S3でOAIがうまく機能しているかを確認

レコード名を貼り付けてアクセス<img src="https://images.microcms-assets.io/assets/b30d7661c2694503832399a83cea2137/67061f93b9a246e09a69a9e0b2adfd4c/image.png" alt="">無事、アクセスすることができました。（今はドメインの更新をしていないのでディストリビューション名のドメインからアクセスしてます。）<img src="https://images.microcms-assets.io/assets/b30d7661c2694503832399a83cea2137/4c109960d1af4826b6a6f7ef052c1343/image.png" alt="">

CloudFrontからアクセス！

CloudFrontを経由してアクセスしてみよう

今回S3にフロントエンドのプロジェクトをデプロイしてCloudFrontで配信する構成をしてみました。 思ったのは、リリースのたびにS3にアップロードして、キャッシュを削除しないといけないので少し面倒だということです。 次回はデプロイの一連のワークフローのパイプラインを作っていきたいと思います。

おわりに

Nuxt.jsをS3にデプロイしてCloudFront経由でアクセスする

今回紹介するロジックを使用して作成したパスワードのスコアです２文字分割、３文字分割 については後に説明します 文字列 = 算出したスコア11111111 = 0.003772540762336680312121212 = 0.03091931216931216612341234 = 0.3333333333333333765872934 = 174829653 = 1aaaaaaaaaa = 0.0016624335562414267abcabcabc = 0.07316468253968254zxpzxpzxpzxpzxpzxp = 0.0061785130718954254abcabcabcxyzxyzxyz = 0.15788398692810457xkskefstpwzyjszp = 1hcksvibdvwgruusb = 1 同じ文字が連続した場合に低いスコアとなっており意図通りに動作していることが分かります

サンプル

与えられた文字列（パスワード）を２～３文字単位に分割し、同じ文字列が出てくる回数をカウントします何度も出てくる単語があった場合にはスコアを低くし単語が少ない回数しか出ていない場合はスコアを高くします

ロジック概要

１．与えられた文字列（パスワード）を先頭から２文字抽出して辞書に登録します　１－１　抽出した２文字が辞書に存在しないのならその単語のカウンターに１を設定し登録処理を終了します　１－２　抽出した２文字が辞書に登録済みであったらその単語のカウンターを１加算します２．検索位置を１文字進めて「１」の処理に戻ります　２－１　文字列の末尾の文字を辞書に取り込んだら処理を終了しますスコア算出部分の実装です<pre><code>function repititionScore(text, wordLength) {
&nbsp; &nbsp; var dicionary = {};
&nbsp; &nbsp; var size = text.length;
&nbsp; &nbsp; var procSize = size - (wordLength - 1);
&nbsp; &nbsp; for(var i = 0; i &lt; procSize; i += 1) {
&nbsp; &nbsp; &nbsp; &nbsp; var word = text.substring(i, i + wordLength);
&nbsp; &nbsp; &nbsp; &nbsp; if(word in dicionary) {
&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; dicionary[word] += 1;
&nbsp; &nbsp; &nbsp; &nbsp; } else {
&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; dicionary[word] = 1;
&nbsp; &nbsp; &nbsp; &nbsp; }
&nbsp; &nbsp; }
&nbsp; &nbsp; prt("text", text);
&nbsp; &nbsp; prt(dicionary);
&nbsp; &nbsp; var score = 0;
&nbsp; &nbsp;&nbsp;
&nbsp; &nbsp; for(k in dicionary) {
&nbsp; &nbsp; &nbsp; &nbsp; score += 1 / dicionary[k] ** 2;
&nbsp; &nbsp; }
&nbsp; &nbsp; score = score / (procSize);
&nbsp; &nbsp; return score;
}</code></pre> 文字列 abcabcabcxyzxyzxyz に対して処理を行うと以下のような辞書が作られます <pre><code>{
&nbsp;&nbsp;"ab": 3,
&nbsp;&nbsp;"bc": 3,
&nbsp;&nbsp;"ca": 2,
&nbsp;&nbsp;"cx": 1,
&nbsp;&nbsp;"xy": 3,
&nbsp;&nbsp;"yz": 3,
&nbsp;&nbsp;"zx": 2
}</code></pre> これらの ２乗の逆数 の 平均値 をスコアとします ＞"bc": 3,＞"ca": 2,この２つについて計算すると(1/(3*3) + 1/(2*2)) / 2 = 0.361となりスコアは 0.361 となります辞書全てを計算すると 0.11437908496732027 となります（計算省略） 文字列 11111111 に対して実施した場合は以下のような辞書が作られます<pre><code>{
&nbsp;&nbsp;"11": 7
}</code></pre>0.0204081632653061 / 7 = 0.0029154518950437となります ソースコードは最後に全て掲載していますので興味があれば御覧ください

ロジック解説

例えばですが・最低8文字とする・8文字区切り（最低文字数区切り）ですべての箇所でスコアを算出し、一番スコアの高い箇所を採用するという使い方になります 32文字パスワードだった場合に全部の文字列を一発で判定してしまえば良いのでは？と思うかもしれませんがその場合に納得いかないような結果になります例えばですが!!!!!!!!!!!!!!!!!!!!xkskefstpwzyjszp!!!!!!!!!!!!!!!!!!!!このようなパスワード文字列を指定した場合にスコアが 0.32 と低くなってしまいます真ん中のランダム文字列がかなりセキュアだとは思いますし、桁数が多く桁数予測もしづらいですですが !!! の繰り返しが低スコア判定となり強固なパスワードを指定したにも関わらず低スコアとなってしまいます

本ロジックの使い方

先の説明で<blockquote>先頭から２文字抽出して辞書に登録します</blockquote>とありました、これはパラメータで変更でき辞書を作成する際に辞書単語を「２文字」にするか「３文字」にするかでスコアが微妙に異なります４文字以上の指定も可能です実装部分は<blockquote>function repititionScore(text, wordLength)</blockquote>になります３文字のほうがスコアがやや高くなる傾向にあります「３文字は繰り返しに入らない、２文字で充分」とかいう人間の感覚的な問題に対応するためにある可変パラメータです実際にNGパターンパスワードを作成し納得いくスコアの出る方を採用すれば良いと思います

２文字分割と３文字分割について

以下のソースを html ファイルとして保存しブラウザで開けば動くと思います <pre><code>&lt;html lang="ja"&gt;
&lt;head&gt;
&nbsp; &nbsp; &lt;meta charset="utf-8"&gt;
&lt;/head&gt;
&lt;body&gt;
&nbsp; &nbsp; &lt;div id="sample_area"&gt;
&nbsp; &nbsp; &lt;/div&gt;
&nbsp; &nbsp; &lt;div id="operation_area"&gt;
&nbsp; &nbsp; &nbsp; &nbsp; &lt;button type="button" id="operation_area_reset_button"&gt;
&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; Reset
&nbsp; &nbsp; &nbsp; &nbsp; &lt;/button&gt;
&nbsp; &nbsp; &nbsp; &nbsp; &lt;button type="button" id="operation_area_submit_button"&gt;
&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; 判定する
&nbsp; &nbsp; &nbsp; &nbsp; &lt;/button&gt;
&nbsp; &nbsp; &nbsp; &nbsp; &lt;br&gt;
&nbsp; &nbsp; &lt;/div&gt;
&nbsp; &nbsp; &lt;div id="log_area"&gt;
&nbsp; &nbsp; &nbsp; &nbsp; &lt;textarea id="log_arrea_view" style="width: 200px; height: 600px; background-color: #DDDDDD;"&gt;
&nbsp; &nbsp; &nbsp; &nbsp; &lt;/textarea&gt;
&nbsp; &nbsp; &lt;/div&gt;


&nbsp; &nbsp; &lt;div id="templates" style="display: none;"&gt;
&nbsp; &nbsp; &nbsp; &nbsp; &lt;div id="template_password_view" name="o_password_text"&gt;
&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &lt;input type="text" id="set_up_id_you_want_1" name="password_value"&gt;
&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &lt;span&gt;score: &lt;/span&gt;
&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &lt;span&gt;2char= &lt;/span&gt;&lt;span name="password_score2"&gt;&lt;/span&gt;
&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &lt;span&gt;, 3char= &lt;/span&gt;&lt;span name="password_score3"&gt;&lt;/span&gt;
&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &lt;span&gt;, average= &lt;/span&gt;&lt;span name="password_score_avr"&gt;&lt;/span&gt;
&nbsp; &nbsp; &nbsp; &nbsp; &lt;/div&gt;
&nbsp; &nbsp; &lt;/div&gt;


&nbsp; &nbsp; &lt;script type="text/javascript"&gt;


function prt() {
&nbsp; &nbsp; console.log.apply(null, arguments);
}


function onReady(fn) {
&nbsp; &nbsp; setTimeout(function() {
&nbsp; &nbsp; &nbsp; &nbsp; fn();
&nbsp; &nbsp; }, 1);
}


function repititionScore(text, wordLength) {
&nbsp; &nbsp; var dicionary = {};
&nbsp; &nbsp; var size = text.length;
&nbsp; &nbsp; var procSize = size - (wordLength - 1);
&nbsp; &nbsp; for(var i = 0; i &lt; procSize; i += 1) {
&nbsp; &nbsp; &nbsp; &nbsp; var word = text.substring(i, i + wordLength);
&nbsp; &nbsp; &nbsp; &nbsp; if(word in dicionary) {
&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; dicionary[word] += 1;
&nbsp; &nbsp; &nbsp; &nbsp; } else {
&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; dicionary[word] = 1;
&nbsp; &nbsp; &nbsp; &nbsp; }
&nbsp; &nbsp; }
&nbsp; &nbsp; prt("text", text);
&nbsp; &nbsp; prt(dicionary);
&nbsp; &nbsp; var score = 0;
&nbsp; &nbsp;&nbsp;
&nbsp; &nbsp; for(k in dicionary) {
&nbsp; &nbsp; &nbsp; &nbsp; score += 1 / dicionary[k] ** 2;
&nbsp; &nbsp; }
&nbsp; &nbsp; score = score / (procSize);
&nbsp; &nbsp; return score;
}


function repititionScore2(text) {
&nbsp; &nbsp; return repititionScore(text, 2);
}


function repititionScore3(text) {
&nbsp; &nbsp; return repititionScore(text, 3);
}


////////////////////////////////////////
// メインクラス
////////////////////////////////////////
function PasswordCheck() {
&nbsp; &nbsp; var self = this;
&nbsp; &nbsp; self.samples = [
&nbsp; &nbsp; &nbsp; &nbsp; "11111111",
&nbsp; &nbsp; &nbsp; &nbsp; "12121212",
&nbsp; &nbsp; &nbsp; &nbsp; "12341234",
&nbsp; &nbsp; &nbsp; &nbsp; "65872934",
&nbsp; &nbsp; &nbsp; &nbsp; "74829653",
&nbsp; &nbsp; &nbsp; &nbsp; "aaaaaaaaaa",
&nbsp; &nbsp; &nbsp; &nbsp; "abcabcabc",
&nbsp; &nbsp; &nbsp; &nbsp; "zxpzxpzxpzxpzxpzxp",
&nbsp; &nbsp; &nbsp; &nbsp; "abcabcabcxyzxyzxyz",
&nbsp; &nbsp; &nbsp; &nbsp; "xkskefstpwzyjszp",
&nbsp; &nbsp; &nbsp; &nbsp; "hcksvibdvwgruusb"
&nbsp; &nbsp; ];
&nbsp; &nbsp; self.initElements = function() {
&nbsp; &nbsp; &nbsp; &nbsp; var me = this;
&nbsp; &nbsp; &nbsp; &nbsp; return new Promise(function(resolve) {
&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; var area = document.getElementById("sample_area");
&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; var tpl = document.getElementById("template_password_view");
&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; var samples = me.samples;
&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; area.querySelectorAll("*").forEach(function(element) {
&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; element.remove();
&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; //prt(element);
&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; });
&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; for(var i = 0; i &lt; samples.length; i += 1) {
&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; var cln = tpl.cloneNode(true);
&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; cln.setAttribute("id", cln.getAttribute("id") + "_" + String(i));
&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; var inp = cln.querySelectorAll("input")[0];
&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; //var inp = cln.getElementsByTagName("input")[0];
&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; inp.setAttribute("id", "sample-input-" + String(i));
&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; inp.value = samples[i];
&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; area.appendChild(cln);
&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; }
&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; onReady(function() {
&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; resolve(true);
&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; });
&nbsp; &nbsp; &nbsp; &nbsp; });
&nbsp; &nbsp; }
&nbsp; &nbsp; self.setupEvents = function() {
&nbsp; &nbsp; &nbsp; &nbsp; var me = this;
&nbsp; &nbsp; &nbsp; &nbsp; document.getElementById("operation_area_reset_button").addEventListener("click", function() {
&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; me.initElements();
&nbsp; &nbsp; &nbsp; &nbsp; });
&nbsp; &nbsp; &nbsp; &nbsp; document.getElementById("operation_area_submit_button").addEventListener("click", function() {
&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; me.scoreThePassword();
&nbsp; &nbsp; &nbsp; &nbsp; });
&nbsp; &nbsp; }
&nbsp; &nbsp; self.scoreThePassword = function() {
&nbsp; &nbsp; &nbsp; &nbsp; var me = this;
&nbsp; &nbsp; &nbsp; &nbsp; var sample_area = document.getElementById("sample_area");
&nbsp; &nbsp; &nbsp; &nbsp; var items = sample_area.querySelectorAll('[name="o_password_text"]');
&nbsp; &nbsp; &nbsp; &nbsp; for(var i = 0; i &lt; items.length; i += 1) {
&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; var oinp = items[i];
&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; var inp = oinp.querySelectorAll('[name="password_value"]')[0];
&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; var score2 = repititionScore2(inp.value);
&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; var score3 = repititionScore3(inp.value);
&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; var score_avr = (score2 + score3) / 2;
&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; oinp.querySelectorAll('[name="password_score2"]')[0].innerHTML = String(score2);
&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; oinp.querySelectorAll('[name="password_score3"]')[0].innerHTML = String(score3);
&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; oinp.querySelectorAll('[name="password_score_avr"]')[0].innerHTML = String(score_avr);
&nbsp; &nbsp; &nbsp; &nbsp; }
&nbsp; &nbsp; }
&nbsp; &nbsp; self.start = function() {
&nbsp; &nbsp; &nbsp; &nbsp; var me = this;
&nbsp; &nbsp; &nbsp; &nbsp; return me.initElements()
&nbsp; &nbsp; &nbsp; &nbsp; .then(function() {
&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; me.setupEvents();
&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; return true;
&nbsp; &nbsp; &nbsp; &nbsp; });
&nbsp; &nbsp; }
}


window.addEventListener('load', function(){
&nbsp; &nbsp; var x = new PasswordCheck();
&nbsp; &nbsp; x.start();
});
&nbsp; &nbsp; &lt;/script&gt;


&lt;/body&gt;
&lt;/html&gt;


</code></pre>

ソースコード

パスワードに繰り返し文字を使用させない

まず初めにDockerfile、docker-compose.yaml、.dockerignoreを作成していきます。docker init コマンドを実行すると順番に以下の選択・入力を求められるので、聞かれるままに答えていくと自動的にDockerfileなどが生成されます。（<a style="background-color:#ffffff" href="https://yoku-tech-blog.microcms.io/apis/articles/%E5%85%AC%E5%BC%8F%E3%81%AE%E3%83%96%E3%83%AD%E3%82%B0" target="_blank" rel="noopener noreferrer">公式のブログ</a>） <ul><li>使用言語</li><li>バージョン</li><li>メインパッケージの相対ディレクトリ</li><li>サーバーのリッスンポート</li></ul> <pre><code>$ docker init

Welcome to the Docker Init CLI!

This utility will walk you through creating the following files with sensible defaults for your project:
&nbsp;- .dockerignore
&nbsp;- Dockerfile
&nbsp;- docker-compose.yaml

Let's get started!

? What application platform does your project use? Go
? What version of Go do you want to use? 1.18
? What's the relative directory (with a leading .) of your main package? .
? What port does your server listen on? 8080

CREATED: .dockerignore
CREATED: Dockerfile
CREATED: docker-compose.yaml

✔ Your Docker files are ready!

Take a moment to review them and tailor them to your application.

When you're ready, start your application by running: docker compose up --build -d

Your application will be available at http://localhost:8080

To stop your application, run: docker compose down</code></pre>

1. docker init でファイルを自動生成する

次に go mod init コマンドを実行してGoモジュールを初期化します。helloworldの部分はプロジェクト名なので何でも良いです。<code>$ go mod init helloworld</code>このコマンドを実行するとgo.modが生成されます。

2. go mod init で新しいGoモジュールを初期化する

go.modが作成できたら、go get コマンドを実行してGinをインストールします。<code>$ go get -u github.com/gin-gonic/gin</code>このコマンドを実行するとgo.modが変更され、go.sumが生成されます。

3. go get でGinをインストールする

最後に main.go を作成し、以下のコードをコピペします。内容としては <code>/hellowworld</code> に向けてGETすると Hello World! が返ってくるという簡単な内容です。<pre><code>package main

import (
	"net/http"
	"github.com/gin-gonic/gin"
)

func main() {
	r := gin.Default()
	r.GET("/helloworld", func(ctx *gin.Context) {
		ctx.JSON(http.StatusOK, gin.H{
			"message": "Hello World!",
		})
	})
	r.Run()
}</code></pre> ここまで作成したら、プロジェクト内のファイルは以下のようになっているはずです。不足している場合は手順を戻って生成しましょう。<pre><code>.
├── Dockerfile
├── docker-compose.yaml
├── .dockerignore
├── go.mod
├── go.sum
└── main.go</code></pre>

4. main.goを用意する

<code>$ docker compose up --build</code> を実行します。<code>Listening and serving HTTP on :8080</code> と表示されたらOKです。<pre><code>&nbsp;✔ Container docker_init_test-server-1&nbsp;Recreated&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;0.1s
Attaching to docker_init_test-server-1
docker_init_test-server-1&nbsp;| [GIN-debug] [WARNING] Creating an Engine instance with the Logger and Recovery middleware already attached.
docker_init_test-server-1&nbsp;|
docker_init_test-server-1&nbsp;| [GIN-debug] [WARNING] Running in "debug" mode. Switch to "release" mode in production.
docker_init_test-server-1&nbsp;|&nbsp;- using env:&nbsp;&nbsp;&nbsp;export GIN_MODE=release
docker_init_test-server-1&nbsp;|&nbsp;- using code:&nbsp;&nbsp;&nbsp;gin.SetMode(gin.ReleaseMode)
docker_init_test-server-1&nbsp;|
docker_init_test-server-1&nbsp;| [GIN-debug] GET&nbsp;&nbsp;/helloworld&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;--&gt; main.main.func1 (3 handlers)
docker_init_test-server-1&nbsp;| [GIN-debug] [WARNING] You trusted all proxies, this is NOT safe. We recommend you to set a value.
docker_init_test-server-1&nbsp;| Please check https://pkg.go.dev/github.com/gin-gonic/gin#readme-don-t-trust-all-proxies for details.
docker_init_test-server-1&nbsp;| [GIN-debug] Environment variable PORT is undefined. Using port :8080 by default
docker_init_test-server-1&nbsp;| [GIN-debug] Listening and serving HTTP on :8080</code></pre>

5. docker compose up --build でコンテナをビルドして立ち上げる

サーバーが立ち上がったはずなのでリクエストを投げて確認してみましょう。curlコマンドを使って /helloworld に向けてGETリクエストを投げます。<code>$ curl http://localhost:8080/helloworld</code> 以下のようなレスポンスが返ってきていればOKです。<pre><code>&nbsp;% curl http://localhost:8080/helloworld
{"message":"Hello World!"}%</code></pre>

6. curlでレスポンスが返ってくるか確認

本題

エラー例）<pre><code>&nbsp;=&gt; ERROR [build 3/4] RUN --mount=type=cache,target=/go/pkg/mod/&nbsp;&nbsp;&nbsp;--mount=type=bind,source=go.sum,target=go.sum&nbsp;&nbsp;&nbsp;&nbsp;0.2s
------
&nbsp;&gt; [build 3/4] RUN --mount=type=cache,target=/go/pkg/mod/&nbsp;&nbsp;&nbsp;--mount=type=bind,source=go.sum,target=go.sum&nbsp;&nbsp;&nbsp;--mount=type=bind,source=go.mod,target=go.mod&nbsp;&nbsp;&nbsp;go mod download -x:
#0 0.205 go: errors parsing go.mod:
#0 0.205 /src/go.mod:3: invalid go version '1.21.3': must match format 1.23
------
failed to solve: executor failed running [/bin/sh -c go mod download -x]: exit code: 1</code></pre> こんなエラーが発生したら、go.modに記載されているgoのバージョンを <code>1.21.3</code> → <code>1.21</code> のように修正し、その後再度 <code>$ docker comose up --build</code> を実行します。 <pre><code>module helloworld

go 1.21.3 ←こいつを1.21に変更

require (
	github.com/bytedance/sonic v1.10.2 // indirect
	github.com/chenzhuoyu/base64x v0.0.0-20230717121745-296ad89f973d // indirect
	github.com/chenzhuoyu/iasm v0.9.1 // indirect
	github.com/gabriel-vasile/mimetype v1.4.3 // indirect
	github.com/gin-contrib/sse v0.1.0 // indirect
	github.com/gin-gonic/gin v1.9.1 // indirect</code></pre> おそらくエラーが解消してサーバーが立ち上がります。

docker compose up --buildでエラーが出るとき

おまけ

docker init コマンドが非常に便利ですね。 もし、ここまで記事を読んでDockerってそもそもなんぞやと思った方はこちらの記事で解説しているので合わせてどうそ。<a href="https://build.yoku.co.jp/articles/a_y-w8d81" target="_blank" rel="noopener noreferrer">https://build.yoku.co.jp/articles/a_y-w8d81</a>

Docker+Go+GinのAPI開発環境を5分で作る

趣味で自分用のアプリケーションの実装であれば、前回の実装で十分というよりオーバースペックくらいだと思います。しかし、実際の業務システムであれば、異常系も考慮しなければいけません。処理の途中で異常終了するケースを考えてみます。<pre><code> def reserve(
 organizerId: UserId,
 participantIds: List[UserId],
 startAt: LocalDateTime,
 endAt: LocalDateTime,
 title: String,
 detail: String
 ): Unit =
 val (meeting, event) =
 Meeting.create(
 organizerId,
 participantIds,
 startAt,
 endAt,
 title,
 detail
 )
 meetingRepository.save(meeting) // ①
 val users = userRepsitory.getByIds(organizerId :: participantIds)
 publisher.publish(event) // ②</code></pre> <code>reserve</code>メソッド全体にDBトランザクションが張られているとします。つまり、<code>reserve</code>メソッドのどこかの処理で異常終了した場合はロールバックします。<ul><li>①で落ちた場合<ul><li>DBはロールバックします。ミーティング作成通知（及び通知予約）も送られていないため、処理全体としてなかったことと同じであり、整合性は保たれています。</li></ul></li><li>②で落ちた場合<ul><li>ミーティング作成通知（及び通知予約）の途中で落ちるため、何人かにはミーティングが作成された（もしくは開始・終了した）旨の通知が届くことでしょう。しかしDBはロールバックするため、実際にはミーティングは作成されておらず、整合性が保たれなくなってしまいます。</li></ul></li></ul>この問題を回避するためにはどうしたらいいでしょうか。

問題点

ミーティング作成と、作成後の通知が同じトランザクション内で処理してしまっていることが問題と言えます。なのでトランザクションを切り離したいです。つまり、通知処理はあくまでミーティング作成のコミットが成功してから走るようにしたいです。また、後続のトランザクションが失敗した場合、後続のみ再実行できるようにしたいので、同じアプリケーションサービス内で複数トランザクションを実行するのではなく、<code>reserve</code>メソッド内ではあくまでミーティング作成のトランザクションのみに責任を持ち、通知は別プロセスで（何らかの方法で）行うようにします。 通知は別プロセスで行うとして、ミーティングが作成されたという事実を知る必要があります。ドメインイベントを生成するようにしたので、それ自体をミーティングオブジェクトと同じDBに保存してしまいましょう。そうすれば同じDBトランザクションで整合性を担保できます。

対応方針

ミーティングオブジェクトをDBに保存することを決めたので、テーブル設計を考えます。各イベントごとにテーブルを用意してもいいのですが、コストがかかるためすべてのイベントを同じテーブルに保存する方向で考えます。以下のようなカラム構成でどうでしょうか。<ul><li><code>id</code> (string): イベントID(UUID)</li><li><code>type</code> (string): イベント種別（例："MeetingCreated", "MeetingDeleted"）</li><li><code>occuredOn</code> (datetime): イベント発生日時</li><li><code>details</code> (json): イベント詳細（例：{"meetingId": 1, "organizerId": 1, ...}）</li><li><code>processed_at</code> (datetime): イベント処理完了日時</li><li><code>created_at</code> (timestamp): 作成日時</li><li><code>updated_at</code> (timestamp): 更新日時</li></ul>イベントを一意に指定するIDがあったほうが何かと便利だと思うので、<code>id</code>を付与しました。イベント種別は<code>type</code>で識別します。またイベントごとに異なるカラムについては<code>details</code>で吸収できるようにしました。別プロセスでイベントを処理する際にすでに処理済みなのかを知る必要があるため、<code>processed_at</code>を付与しました。 次に実装です。

イベント作成と通知が別プロセスということになったので、まずはイベント作成の方の実装からしてみます。<pre><code>@@ -100,6 +100,10 @@ trait MeetingRepository:
&nbsp;trait DomainEvent:
&nbsp; &nbsp;val occuredOn = LocalDateTime.now()
&nbsp;
+trait DomainEventRepository:
+&nbsp; def save[T &lt;: DomainEvent](event: T): Unit =
+&nbsp; &nbsp; println(event)
+
&nbsp;class MeetingCreated(
&nbsp; &nbsp; &nbsp;val meetingId: MeetingId,
&nbsp; &nbsp; &nbsp;val organizerId: UserId,
@@ -171,13 +175,9 @@ class EmailReserveService(
&nbsp;
&nbsp;class MeetingService(
&nbsp; &nbsp; &nbsp;meetingRepository: MeetingRepository,
-&nbsp; &nbsp; userRepsitory: UserRepository
+&nbsp; &nbsp; userRepsitory: UserRepository,
+&nbsp; &nbsp; eventRepository: DomainEventRepository
&nbsp;):
-&nbsp; private val publisher = DomainEventPublisher(
-&nbsp; &nbsp; EmailSendService(userRepsitory, EmailSender()),
-&nbsp; &nbsp; EmailReserveService(userRepsitory, EmailReserver())
-&nbsp; )
-
&nbsp; &nbsp;def reserve(
&nbsp; &nbsp; &nbsp; &nbsp;organizerId: UserId,
&nbsp; &nbsp; &nbsp; &nbsp;participantIds: List[UserId],
@@ -196,8 +196,7 @@ class MeetingService(
&nbsp; &nbsp; &nbsp; &nbsp; &nbsp;detail
&nbsp; &nbsp; &nbsp; &nbsp;)
&nbsp; &nbsp; &nbsp;meetingRepository.save(meeting)
-&nbsp; &nbsp; publisher.publish(event)
+&nbsp; &nbsp; eventRepository.save(event)
&nbsp;
&nbsp; &nbsp;def reserveWithFollowed(
&nbsp; &nbsp; &nbsp; &nbsp;organizerId: UserId,
@@ -218,13 +217,10 @@ class MeetingService(
&nbsp; &nbsp; &nbsp; &nbsp; &nbsp;detail
&nbsp; &nbsp; &nbsp; &nbsp;)
&nbsp; &nbsp; &nbsp;meetingRepository.save(meeting)
-&nbsp; &nbsp; publisher.publish(event)
+&nbsp; &nbsp; eventRepository.save(event)
&nbsp;
&nbsp; &nbsp;def remove(meetingId: MeetingId): Unit =
&nbsp; &nbsp; &nbsp;val meeting = meetingRepository.get(meetingId)
&nbsp; &nbsp; &nbsp;val event = meeting.delete
&nbsp; &nbsp; &nbsp;meetingRepository.delete(meetingId, event)
-&nbsp; &nbsp; publisher.publish(event)
+&nbsp; &nbsp; eventRepository.save(event)</code></pre> <code>publisher.publish</code>の代わりに<code>eventRepository.save</code>を呼ぶようになっただけです。簡単ですね。 では続いて、通知処理です。<pre><code>@@ -99,11 +99,28 @@ trait MeetingRepository:
&nbsp;
&nbsp;trait DomainEvent:
&nbsp; &nbsp;val occuredOn = LocalDateTime.now()
+&nbsp; var processedAt: Option[LocalDateTime] = None
+
+&nbsp; def processCompleted(): Unit =
+&nbsp; &nbsp; processedAt = Some(LocalDateTime.now())
&nbsp;
&nbsp;trait DomainEventRepository:
&nbsp; &nbsp;def save[T &lt;: DomainEvent](event: T): Unit =
&nbsp; &nbsp; &nbsp;println(event)
&nbsp;
+&nbsp; def getUnprocessed: List[DomainEvent] =
+&nbsp; &nbsp; List(
+&nbsp; &nbsp; &nbsp; MeetingCreated(
+&nbsp; &nbsp; &nbsp; &nbsp; MeetingId(1),
+&nbsp; &nbsp; &nbsp; &nbsp; UserId(1),
+&nbsp; &nbsp; &nbsp; &nbsp; List(UserId(2), UserId(3)),
+&nbsp; &nbsp; &nbsp; &nbsp; title = "ミーティング1",
+&nbsp; &nbsp; &nbsp; &nbsp; detail = "全員集合",
+&nbsp; &nbsp; &nbsp; &nbsp; startAt = LocalDateTime.now(),
+&nbsp; &nbsp; &nbsp; &nbsp; endAt = LocalDateTime.now()
+&nbsp; &nbsp; &nbsp; )
+&nbsp; &nbsp; )
+
&nbsp;class MeetingCreated(
&nbsp; &nbsp; &nbsp;val meetingId: MeetingId,
&nbsp; &nbsp; &nbsp;val organizerId: UserId,
@@ -173,6 +190,24 @@ class EmailReserveService(
&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp;reserver.reserve(u.email, e.title, e.detail, e.endAt)
&nbsp; &nbsp; &nbsp; &nbsp; &nbsp;})
&nbsp;
+class EventProcessService(
+&nbsp; &nbsp; eventRepository: DomainEventRepository,
+&nbsp; &nbsp; userRepsitory: UserRepository
+):
+&nbsp; val publisher = DomainEventPublisher(
+&nbsp; &nbsp; EmailSendService(userRepsitory, EmailSender()),
+&nbsp; &nbsp; EmailReserveService(userRepsitory, EmailReserver())
+&nbsp; )
+
+&nbsp; def process(): Unit =
+&nbsp; &nbsp; val events = eventRepository.getUnprocessed
+&nbsp; &nbsp; events.foreach(processEvent)
+
+&nbsp; private def processEvent(event: DomainEvent): Unit =
+&nbsp; &nbsp; publisher.publish(event)
+&nbsp; &nbsp; event.processCompleted()
+&nbsp; &nbsp; eventRepository.save(event)
+
&nbsp;class MeetingService(
&nbsp; &nbsp; &nbsp;meetingRepository: MeetingRepository,
&nbsp; &nbsp; &nbsp;userRepsitory: UserRepository,</code></pre> 未処理のイベントリストを取得し、それぞれのイベントについて<code>publish</code>し、完了時間を記録してからDBに保存します。各イベント発生時の処理と別プロセスで行うという大幅な仕様変更ですが、実装的にはそれほど大きく変わっていません。（別プロセスの具体的な方法については未実装ですが・・・）

実装修正

ところで、今の実装でも、イベントの処理途中で落ちた場合のことを考えると、通知などは行われますが完了時間の記録は行われないため、同じイベントが再度発行されてしまいます。これはDBトランザクションでない以上、どうしようもないと思います。ただし、テーブル設計でイベントIDを付与しているため、同じイベントが発行されてもリモートのサブスクライバ側で処理済みの場合は破棄することが可能です。イベント発行の際の冪等性は留意が必要なテーマだと思います。

重複排除

今回は、異常系について考慮する中で、イベントの保存と発行を別プロセスで行うという仕様変更を行いました。なお、「何らかの方法で」別プロセスで行うと言いましたが、それを実現する具体的な技術論については自分がまだ勉強不足のため、別の機会に譲ろうと思います。あと、実はまだ一度も実行していないので、そろそろちゃんと動かしてみようと思います。それについても次回以降に回したいと思います。 ひたすらリファクタを繰り返してきましたが、今回でかなり理想的な形に近づいたと思います。現時点でのコード全容を貼っておきます。<pre><code>// ドメイン層
class UserId(val value: Int) extends AnyVal
class Email(val value: String) extends AnyVal

class User(val id: UserId, val email: Email):
 def followed: List[User] =
 List(
 User(UserId(1), Email("hoge1@example.com")),
 User(UserId(2), Email("hoge2@example.com"))
 )

trait UserRepository:
 def get(id: UserId) =
 User(id, Email("hoge@example.com"))

 def getByIds(ids: List[UserId]) =
 ids.map(User(_, Email("hoge@example.com")))

class MeetingId(val value: Int) extends AnyVal

class Meeting(
 val id: MeetingId,
 val organizerId: UserId,
 val participantIds: List[UserId],
 val startAt: LocalDateTime,
 val endAt: LocalDateTime,
 val title: String,
 val detail: String
):
 def delete: MeetingDeleted =
 MeetingDeleted(id, organizerId, participantIds)

object Meeting:
 def create(
 organizerId: UserId,
 participantIds: List[UserId],
 startAt: LocalDateTime,
 endAt: LocalDateTime,
 title: String,
 detail: String
 ): (Meeting, MeetingCreated) =
 val id = MeetingId(1)
 val meeting =
 Meeting(id, organizerId, participantIds, startAt, endAt, title, detail)
 val event = MeetingCreated(
 id,
 organizerId,
 participantIds,
 title,
 detail,
 startAt,
 endAt
 )
 (meeting, event)

trait MeetingRepository:
 def save(meeting: Meeting): Unit
 def get(meetingId: MeetingId): Meeting
 def delete(meetingId: MeetingId, event: MeetingDeleted): Unit

trait DomainEvent:
 val occuredOn = LocalDateTime.now()
 var processedAt: Option[LocalDateTime] = None

 def processCompleted(): Unit =
 processedAt = Some(LocalDateTime.now())

trait DomainEventRepository:
 def save[T &lt;: DomainEvent](event: T): Unit =
 println(event)

 def getUnprocessed: List[DomainEvent] =
 List(
 MeetingCreated(
 MeetingId(1),
 UserId(1),
 List(UserId(2), UserId(3)),
 title = "ミーティング1",
 detail = "全員集合",
 startAt = LocalDateTime.now(),
 endAt = LocalDateTime.now()
 )
 )

class MeetingCreated(
 val meetingId: MeetingId,
 val organizerId: UserId,
 val participantIds: List[UserId],
 val title: String,
 val detail: String,
 val startAt: LocalDateTime,
 val endAt: LocalDateTime
) extends DomainEvent

class MeetingDeleted(
 val meetingId: MeetingId,
 val organizerId: UserId,
 val participantIds: List[UserId]
) extends DomainEvent

trait DomainEventObserver:
 def respondTo[T &lt;: DomainEvent](event: T): Unit

class DomainEventPublisher(obs: DomainEventObserver*):
 def publish[T &lt;: DomainEvent](event: T): Unit =
 obs.foreach(_.respondTo(event))

// インフラストラクチャ層
class EmailSender:
 def send(to: Email, subject: String, body: String): Unit =
 println(s"email send to $to")

class EmailReserver:
 def reserve(
 to: Email,
 subject: String,
 body: String,
 when: LocalDateTime
 ): Unit =
 println(s"email reserved sending to $to when $when")

// アプリケーション層
class EmailSendService(
 userRepsitory: UserRepository,
 sender: EmailSender
) extends DomainEventObserver:
 override def respondTo[T &lt;: DomainEvent](event: T): Unit =
 event match
 case e: MeetingCreated =&gt;
 val users =
 userRepsitory.getByIds(e.organizerId :: e.participantIds)
 users.foreach(u =&gt; sender.send(u.email, e.title, e.detail))
 case e: MeetingDeleted =&gt;
 val users =
 userRepsitory.getByIds(e.organizerId :: e.participantIds)
 users.foreach(u =&gt;
 sender.send(u.email, "ミーティング削除のお知らせ", "ミーティングが削除されました")
 )

class EmailReserveService(
 userRepsitory: UserRepository,
 reserver: EmailReserver
) extends DomainEventObserver:
 override def respondTo[T &lt;: DomainEvent](event: T): Unit =
 event match
 case e: MeetingCreated =&gt;
 val users =
 userRepsitory.getByIds(e.organizerId :: e.participantIds)
 users.foreach(u =&gt; {
 reserver.reserve(u.email, e.title, e.detail, e.startAt)
 reserver.reserve(u.email, e.title, e.detail, e.endAt)
 })

class EventProcessService(
 eventRepository: DomainEventRepository,
 userRepsitory: UserRepository
):
 val publisher = DomainEventPublisher(
 EmailSendService(userRepsitory, EmailSender()),
 EmailReserveService(userRepsitory, EmailReserver())
 )

 def process(): Unit =
 val events = eventRepository.getUnprocessed
 events.foreach(processEvent)

 private def processEvent(event: DomainEvent): Unit =
 publisher.publish(event)
 event.processCompleted()
 eventRepository.save(event)

class MeetingService(
 meetingRepository: MeetingRepository,
 userRepsitory: UserRepository,
 eventRepository: DomainEventRepository
):
 def reserve(
 organizerId: UserId,
 participantIds: List[UserId],
 startAt: LocalDateTime,
 endAt: LocalDateTime,
 title: String,
 detail: String
 ): Unit =
 val (meeting, event) =
 Meeting.create(
 organizerId,
 participantIds,
 startAt,
 endAt,
 title,
 detail
 )
 meetingRepository.save(meeting)
 eventRepository.save(event)

 def reserveWithFollowed(
 organizerId: UserId,
 startAt: LocalDateTime,
 endAt: LocalDateTime,
 title: String,
 detail: String
 ): Unit =
 val organizer = userRepsitory.get(organizerId)
 val followers = organizer.followed
 val (meeting, event) =
 Meeting.create(
 organizerId,
 followers.map(_.id),
 startAt,
 endAt,
 title,
 detail
 )
 meetingRepository.save(meeting)
 eventRepository.save(event)

 def remove(meetingId: MeetingId): Unit =
 val meeting = meetingRepository.get(meetingId)
 val event = meeting.delete
 meetingRepository.delete(meetingId, event)
 eventRepository.save(event)</code></pre>

BuildersIO produced by YOKU