VRChat個人開発集会で聞いた！認証機能を分離してアプリ開発を効率化する方法
詳細情報
発表のハイライト
かるだんさんがVRChatの個人開発集会で発表した「認証機能を分離した話」では、複数のアプリで共通の認証情報を使いやすくするために、認証機能を分離したサーバーを構築した方法を紹介しました。JWT（JSON Web Token）を活用し、認証・認可の処理をシンプル化することで、開発効率を向上させた点がポイントです。
なぜ認証機能を分離したの？
かるだんさんは、以前から開発していたタスク管理ツール「Taskules」でFirebase Authenticationを利用していました。しかし、新しく別のアプリを開発する際に、同じ認証情報を使い回したいと思ったものの、Firebaseでは思うように連携できなかったそうです。そこで、認証機能を分離して、複数のアプリから利用できる仕組みを作ることを思いつきました。
Firebase Authenticationの不便さ
- Firebase Authenticationは、特定のアプリに紐づいてしまうため、複数のアプリで共通の認証情報を扱うのが難しい
- 柔軟なカスタマイズが難しかったり、機能が限定的だったりすることも不便に感じていた
認証・認可サーバーを分離するメリット
認証機能を分離したことで、以下のようなメリットが得られました。
複数のアプリで共通の認証情報を活用
認証機能を独立したサーバーで管理することで、複数のアプリから同じ認証情報を利用できるようになりました。これにより、ユーザーはそれぞれのアプリで個別にログインする必要がなくなり、よりスムーズな体験を提供できるようになりました。
JWT（JSON Web Token）で認証をシンプルに
かるだんさんは、認証サーバーとアプリ間の通信にJWTを採用しました。JWTは、ユーザーの認証情報を暗号化してトークンとして発行する仕組みです。このトークンをアプリが受け取り、認証サーバーとの通信に利用することで、認証処理を簡略化することができます。
セキュリティの強化
JWTは、トークンにデジタル署名を含めることで、なりすましや改ざんを防止する仕組みです。これにより、認証情報のセキュリティを強化し、ユーザーのアカウントを安全に保護することが可能になりました。
JWT（JSON Web Token）とは？
JWTは、JSON形式でデータを表現し、base64urlでエンコードされたトークンです。ヘッダー、ペイロード、署名という3つの部分から構成されています。
- ヘッダー：トークンのタイプや暗号化アルゴリズムなどの情報
- ペイロード：ユーザーIDや名前などの認証情報
- 署名：トークンの整合性を確認するための情報
JWTのメリットとデメリット
JWTには、以下のようなメリットとデメリットがあります。
メリット
- サーバー側にトークンを保存する必要がない：JWTは、トークン自体に認証情報が含まれているため、サーバー側にセッション情報を保存する必要がありません。これにより、サーバーの負荷を軽減することができます。
- JWTのペイロードを使って情報を送れる：JWTのペイロードに、ユーザー情報や権限などの情報を追加することができます。これにより、アプリ間で情報をやり取りする際に、別途APIを呼び出す必要がなくなります。
- なりすまし・改ざんのリスクが低い：JWTは、デジタル署名によってなりすましや改ざんを防止することができます。
デメリット
- 鍵の取り扱いの手間が増える：JWTを使用するには、秘密鍵と公開鍵を管理する必要があります。これらの鍵を適切に管理しないと、セキュリティリスクが高まります。
認証・認可サーバーを分離する際に考慮すべき点
認証機能を分離すると、管理の手間や実装コストが増加する可能性があります。かるだんさんも、その点について言及していました。
- 分離した分、管理の手間が増加する
- 実装コストが増加する
しかし、複数のアプリで共通の認証情報を活用したい場合や、セキュリティを強化したい場合は、認証機能の分離は有効な手段となります。
まとめ
かるだんさんの発表では、Firebase Authenticationの不便さを解消するために、認証機能を分離したサーバーを構築し、JWTを活用した認証システムを構築した方法を紹介しました。この手法は、複数のアプリで共通の認証情報を活用したい場合や、セキュリティを強化したい場合に有効です。
ただし、認証機能を分離すると、管理の手間や実装コストが増加する可能性もあるため、メリットとデメリットを比較検討して導入を検討する必要があります。