ログインと、データを使う権限を分ける

この記事の目次

AIと作ったメモアプリに、ログイン機能を付けました。自分でログインすると、自分のメモだけが並びます。ログアウトすると、一覧は消えます。

ここまで確認したなら、「ちゃんと分かれている」と思いますよね。では、別の利用者として、同じメモを開こうとしたときはどうでしょう。

この記事は、予約・メモ・会員ページなど、利用者ごとにデータを分けるアプリを公開する人に向けたものです。ログインを付ける大切さの先にある、「相手の記録を返さない仕組み」を見ていきます。コードを読まない方も、例の結果と確認表から追えます。

利用者ごとにデータを分けるアプリで**自分のメモは見えた。他の人からも見えない？**

「誰ですか」と「このメモを読んでいいですか」は別の質問

認証は、ログインなどで「誰か」を確かめること。認可は、「その人が、このデータに、この操作をしてよいか」を決めることです。

利用者Aとしてログインできたとしても、利用者Bのメモまで読んでよいわけではありません。会員であることと、すべての会員の情報を扱えることは違います。

認証したあとに、認可の判断がある

本人の確認：認証
ログインした利用者はAと確認する。
対象と操作の確認：認可
そのメモの所有者か。読む・変える権限があるか。
許可した内容だけ返す
条件を満たさなければ、本文を返さない。

ログイン済みという条件だけで、全利用者の記録を返しません。

会員番号やメモの番号を推測しにくくする工夫は役立ちますが、権限確認の代わりにはなりません。番号を知っていても、権限がなければ返さない設計が必要です。OWASP：IDORの防止

自分の画面が正しいだけでは、まだ分からないこと

画面に自分のメモしか出ていない理由には、二つあります。

一つは、サーバーが自分の分だけ返している場合。もう一つは、全員分をブラウザへ送った後に、画面で自分の分だけ表示している場合です。見た目が同じでも、後者では表示しないデータも利用者の端末に届いています。

同じ見た目でも、端末に届く情報が違う

画面で絞るだけ
全員のデータを受け取ってから、自分の分を表示。
表示しない情報も端末へ届く
処理側で制限
本人と対象の権限を確認し、許可したデータだけ返す。
拒否する内容は返さない

画面の非表示と、情報を渡さない制御を分けます。

同じように、「削除ボタンを隠した」「管理画面のURLを案内していない」だけでは、その処理を呼べないとは限りません。データを返す・変更する側で、要求のたびに権限を判断します。OWASP：認可の原則

入口を付けたあと、部屋の鍵も確かめる。

ログインは建物の入口、そのメモの権限は部屋の鍵、と考えると分けやすくなります。入口を通れた人が、すべての部屋へ入れる設計にはしません。

架空のメモで、許可と拒否を見比べる

ここでは、実際のサービスへ接続しません。メモリ上の架空の利用者A/Bと1件のメモだけを使います。認証済みの利用者情報は、信頼できるサーバー側で確認済みという前提です。

次のreadMemoは、利用者がいるか、メモの所有者かを見てから、必要な内容だけを返します。nullは「内容を返さない」という、この例での表現です。

const memo = { id: "note-1", ownerId: "A", text: "架空の旅メモ" };
function readMemo(sessionUser, record) {
  if (!sessionUser || !record || sessionUser.id !== record.ownerId) return null;
  return { id: record.id, text: record.text };
}
for (const user of [{ id: "A" }, { id: "B" }, null]) {
  const label = user ? user.id : "未ログイン";
  console.log(label + ": " + JSON.stringify(readMemo(user, memo)));
}

A: {"id":"note-1","text":"架空の旅メモ"}
B: null
未ログイン: null

大事なのは、Bや未ログインの場合に、メモの本文を返す前に止まることです。返した後で画面から隠す処理ではありません。

この短いコードだけで、実際の認証・認可は完成しません。ブラウザから送られたuserIdを、そのままログイン済みの本人として信用してはいけません。実装では、提供元の認証機能で検証した利用者と、DBのルールやサーバーの処理をつなぎます。

「読む」だけでなく、変える・消す・共有するも分ける

同じメモでも、閲覧と編集の権限は別です。共同編集を付けるなら、「所有者」「編集できる共同利用者」「閲覧だけの人」の違いも決めます。

最初は複雑にせず、自分のアプリで必要な操作を表にします。これは、本人だけが使うメモアプリの架空例です。

表がはみ出す場合は、横にスクロールして読めます。

操作	本人A	別の利用者B	未ログイン
Aの非公開メモを読む	許可	拒否	拒否
Aのメモを編集・削除	許可	拒否	拒否
新しいメモを作る	自分の所有で許可	B自身の所有で許可	拒否
共有設定を変える	許可	拒否	拒否