【Auth/認証系】Bearer トークン認証について📝

// src/server.ts
import express, { Request, Response, NextFunction } from 'express';
import jwt from 'jsonwebtoken';
import dotenv from 'dotenv';
dotenv.config();

const app = express();
app.use(express.json());

const SECRET = process.env.JWT_SECRET ?? 'development-secret';

// 型拡張して user 情報をミドルウェア以降に渡す
interface AuthRequest extends Request {
  user?: string | jwt.JwtPayload;
}

// ───────────────────────────────────
// ミドルウェア: Bearer トークン検証
// ───────────────────────────────────
function authenticate(req: AuthRequest, res: Response, next: NextFunction) {
  const header = req.headers.authorization ?? '';
  if (!header.startsWith('Bearer ')) {
    return res.status(401).json({ message: 'Missing Bearer token' });
  }

  const token = header.slice(7); // "Bearer ".length === 7
  try {
    const payload = jwt.verify(token, SECRET);
    req.user = payload;          // 後続に渡す
    next();
  } catch {
    return res.status(401).json({ message: 'Invalid / expired token' });
  }
}

// ───────────────────────────────────
// ログイン: 正常なら 1時間 有効な JWT を発行
// ───────────────────────────────────
app.post('/login', (req, res) => {
  const { username, password } = req.body as { username: string; password: string };

  // ★ 実際は DB などで認証
  if (username === 'alice' && password === 'wonderland') {
    const token = jwt.sign({ sub: username }, SECRET, { expiresIn: '1h' });
    return res.json({ token });
  }
  res.status(401).json({ message: 'Bad credentials' });
});

// ───────────────────────────────────
// 公開エンドポイント
// ───────────────────────────────────
app.get('/public', (_req, res) => res.json({ message: 'Hello, world!' }));

// ───────────────────────────────────
// 保護されたエンドポイント
// ───────────────────────────────────
app.get('/protected', authenticate, (req: AuthRequest, res) => {
  res.json({ message: `Hello ${req.user && (req.user as any).sub}!` });
});

app.listen(3000, () => console.log('Listening on :3000'));

# ログインしてトークン取得
curl -X POST localhost:3000/login -d '{"username":"alice","password":"wonderland"}' \
     -H "Content-Type: application/json"

# Bearer ヘッダーを付けてアクセス
curl localhost:3000/protected -H "Authorization: Bearer <token>"

// src/index.ts
import { Hono } from 'hono';
import { sign, verify } from 'hono/jwt';

const app = new Hono<{ Variables: { user: string } }>();
const SECRET = process.env.JWT_SECRET ?? 'development-secret';

/* ───── 認証ヘルパ ───── */
async function auth(c: Hono.Context, next: Hono.Next) {
  const header = c.req.header('Authorization') ?? '';
  if (!header.startsWith('Bearer ')) return c.text('Unauthorized', 401);

  try {
    const token = header.slice(7);
    const payload = await verify(token, SECRET);
    c.set('user', payload.sub as string);
    await next();
  } catch {
    return c.text('Invalid / expired token', 401);
  }
}

/* ───── ルーティング ───── */
app.post('/login', async (c) => {
  const { username, password } = await c.req.json();
  if (username === 'alice' && password === 'wonderland') {
    const token = await sign({ sub: username }, SECRET, { exp: Math.floor(Date.now()/1000) + 3600 });
    return c.json({ token });
  }
  return c.json({ message: 'Bad credentials' }, 401);
});

app.get('/public', (c) => c.json({ message: '公開エンドポイント' }));
app.get('/protected/hello', auth, (c) => c.json({ message: `Hello ${c.get('user')}` }));

export default app;

bun run src/index.ts