OAuth 2.0 フローの実装で『状態管理』が甘くなりやすい理由──本番環境のセッション固定攻撃対策

// ❌ よくある不十分な実装
app.get('/auth/login', (req, res) => {
  const state = crypto.randomBytes(16).toString('hex');
  // state をセッションに保存
  req.session.oauthState = state;
  
  const authUrl = new URL('https://oauth-provider.example.com/authorize');
  authUrl.searchParams.append('client_id', CLIENT_ID);
  authUrl.searchParams.append('redirect_uri', REDIRECT_URI);
  authUrl.searchParams.append('state', state);
  authUrl.searchParams.append('scope', 'openid profile email');
  
  res.redirect(authUrl.toString());
});

app.get('/auth/callback', (req, res) => {
  const { code, state } = req.query;
  
  // state の検証（ここまでは正しい）
  if (state !== req.session.oauthState) {
    return res.status(400).send('Invalid state');
  }
  
  // トークンを取得して、ユーザー情報を取得
  // ...
  
  // ❌ 問題：認可完了後、セッションを初期化していない
  req.session.userId = userInfo.sub;
  res.redirect('/dashboard');
});

// ✅ セッション固定攻撃対策を含む実装
app.get('/auth/login', (req, res) => {
  const state = crypto.randomBytes(16).toString('hex');
  const nonce = crypto.randomBytes(16).toString('hex'); // OpenID Connect の場合
  
  // state と nonce を保存
  req.session.oauthState = state;
  req.session.oauthNonce = nonce;
  // ログイン前のセッション ID を記録（検証用）
  req.session.preAuthSessionId = req.sessionID;
  
  const authUrl = new URL('https://oauth-provider.example.com/authorize');
  authUrl.searchParams.append('client_id', CLIENT_ID);
  authUrl.searchParams.append('redirect_uri', REDIRECT_URI);
  authUrl.searchParams.append('state', state);
  authUrl.searchParams.append('nonce', nonce);
  authUrl.searchParams.append('scope', 'openid profile email');
  
  res.redirect(authUrl.toString());
});

app.get('/auth/callback', (req, res) => {
  const { code, state } = req.query;
  
  // state の検証
  if (!req.session.oauthState || state !== req.session.oauthState) {
    return res.status(400).send('Invalid state');
  }
  
  // トークン取得と ID トークン検証
  const tokenResponse = await exchangeCodeForToken(code);
  const idToken = verifyIdToken(tokenResponse.id_token, {
    nonce: req.session.oauthNonce
  });
  
  // ✅ 重要：セッション ID を再生成（セッション固定攻撃対策）
  const previousSessionId = req.sessionID;
  req.session.regenerate((err) => {
    if (err) {
      return res.status(500).send('Session error');
    }
    
    // 新しいセッションにユーザー情報を保存
    req.session.userId = idToken.sub;
    req.session.email = idToken.email;
    req.session.authenticatedAt = Date.now();
    
    // ✅ 古いセッションデータをクリア
    delete req.session.oauthState;
    delete req.session.oauthNonce;
    delete req.session.preAuthSessionId;
    
    res.redirect('/dashboard');
  });
});

// ✅ マルチプロバイダ対応の state 管理
app.get('/auth/login/:provider', (req, res) => {
  const { provider } = req.params;
  
  // 各プロバイダの設定を取得
  const providerConfig = OAUTH_PROVIDERS[provider];
  if (!providerConfig) {
    return res.status(400).send('Unknown provider');
  }
  
  // state にプロバイダ情報とタイムスタンプを含める
  const statePayload = {
    provider,
    random: crypto.randomBytes(16).toString('hex'),
    timestamp: Date.now()
  };
  const state = Buffer.from(JSON.stringify(statePayload)).toString('base64');
  
  // セッションに保存
  req.session.oauthState = state;
  req.session.oauthProvider = provider;
  
  // リダイレクト
  const authUrl = buildAuthUrl(providerConfig, state);
  res.redirect(authUrl);
});

app.get('/auth/callback', (req, res) => {
  const { code, state } = req.query;
  
  // state を検証
  if (!req.session.oauthState || state !== req.session.oauthState) {
    return res.status(400).send('Invalid state');
  }
  
  // state からプロバイダ情報を復号
  const statePayload = JSON.parse(
    Buffer.from(state, 'base64').toString('utf-8')
  );
  
  // プロバイダの一貫性を確認
  if (statePayload.provider !== req.session.oauthProvider) {
    return res.status(400).send('Provider mismatch');
  }
  
  // state の有効期限を確認（例：5分以内）
  if (Date.now() - statePayload.timestamp > 5 * 60 * 1000) {
    return res.status(400).send('State expired');
  }
  
  // 以降、トークン取得とセッション再生成...
});