ドキュメント価格ブログ
お問い合わせ
ログイン無料で新規登録
Back to Tech Articles

GinミドルウェアでのJWT認証によるAPIの保護

9月 19, 2025
# Misc

Min-jun Kim

Dev Intern · Leapcell

この記事はEnglish、한국어、Deutschでも利用できます
Cover of "GinミドルウェアでのJWT認証によるAPIの保護"

はじめに

現代のWeb開発において、API（Application Programming Interface）の保護は最優先事項です。特にRESTful APIは、シングルページアプリケーション、モバイルアプリ、マイクロサービスアーキテクチャのバックボーンとして機能することがよくあります。このセキュリティの重要な側面は、ユーザーを効果的かつ効率的に認証および認可することです。ここでJSON Web Token（JWT）が役立ちます。JWTは、2者間で転送されるクレームを表現するためのコンパクトでURLセーフな手段を提供し、ステートレスでスケーラブルな認証アプローチを提供します。この記事では、広く使用されているGoのWebフレームワークであるGinを活用して、そのミドルウェア内で直接JWTトークンの発行と検証を実装し、Goアプリケーションを保護するための実用的で堅牢なソリューションを提供する方法について説明します。

JWTとGinミドルウェアの理解

実装に入る前に、関連するコアコンセプトを明確に理解しましょう。

  • JSON Web Token（JWT）: JWTは、2者間で情報をJSONオブジェクトとして安全に送信するための、コンパクトで自己完結型の方法を定義するオープンスタンダード（RFC 7519）です。この情報は、デジタル署名されているため、検証および信頼できます。JWTは通常、ヘッダー、ペイロード、署名の3つの部分で構成されます。
    • ヘッダー: トークンのタイプ（JWT）と署名アルゴリズム（例：HMAC SHA256またはRSA）を含みます。
    • ペイロード: クレームを含みます。クレームは、エンティティ（通常はユーザー）と追加データに関するステートメントです。標準クレームには、iss（発行者）、exp（有効期限）、sub（件名）、aud（対象者）が含まれます。カスタムクレームを追加することもできます。
    • 署名: エンコードされたヘッダー、エンコードされたペイロード、秘密鍵、およびヘッダーで指定されたアルゴリズムを使用してデジタル署名を作成します。この署名は、JWTの送信者を検証し、メッセージが改ざんされていないことを確認するために使用されます。
  • Ginミドルウェア: Ginのコンテキストでは、ミドルウェアは、最終的なリクエストハンドラーの前または後に実行される関数のチェーンです。ミドルウェアは、ログ記録、認証、認可、リクエスト解析、エラー処理など、さまざまなタスクを実行できます。モジュール化された再利用可能なコードを可能にし、複数のルートに適用される機能を一元化します。

GinミドルウェアにJWTを実装することには、いくつかの利点があります。

  • 一元化された認証: 認証ロジックは1か所で行われ、複数のルートハンドラーでの繰り返しを防ぎます。
  • ステートレス: JWTはステートレス認証を可能にし、サーバーサイドセッションの必要性をなくし、スケーラビリティを向上させます。
  • 分離されたロジック: 認証と認可はビジネロジックから分離され、コードをよりクリーンで保守しやすくします。

GinミドルウェアでのJWTの実装

私たちの実装は、2つの主要な段階を含みます。ユーザーログイン成功時のJWTの発行と、保護されたAPIリクエストのJWTの検証です。

1. プロジェクトセットアップと依存関係

まず、新しいGoモジュールを初期化し、必要な依存関係をインストールします。

go mod init your-module-name
go get github.com/gin-gonic/gin
go get github.com/golang-jwt/jwt/v5

2. JWTクレームの定義

jwt.RegisteredClaimsを埋め込み、ユーザー固有の情報を持つカスタムClaims構造体を作成します。

package main

import "github.com/golang-jwt/jwt/v5"

// MyCustomClaims defines the JWT claims structure
type MyCustomClaims struct {
	Username string `json:"username"`
	jwt.RegisteredClaims
}

3. JWT秘密鍵

トークンの署名と検証には秘密鍵が必要です。本番環境では、これは強力でランダムに生成されたキーであり、環境変数などの安全な場所に保存されるべきです。

// Replace with a strong, securely stored secret in production
var jwtSecret = []byte("supersecretkeythatshouldbesecretandlong")

4. JWTトークンの発行

この関数は、ユーザーログイン成功後に呼び出されます。ユーザー名を受け取り、署名付きJWTを生成します。

package main

import (
	t"time"

	"github.com/golang-jwt/jwt/v5"
)

// GenerateToken generates a new JWT token for a given username
func GenerateToken(username string) (string, error) {
	expirationTime := time.Now().Add(24 * time.Hour) // Token valid for 24 hours
	claims := &MyCustomClaims{
		Username: username,
		RegisteredClaims: jwt.RegisteredClaims{
			ExpiresAt: jwt.NewNumericDate(expirationTime),
			IssuedAt:  jwt.NewNumericDate(time.Now()),
			NotBefore: jwt.NewNumericDate(time.Now()),
			Issuer:    "your-app-issuer",
			Subject:   username,
			ID:        "", // Optional: unique identifier for the token
			Audience:  []string{"your-app-audience"},
		},
	}

	token := jwt.NewWithClaims(jwt.SigningMethodHS256, claims)
	ttokenString, err := token.SignedString(jwtSecret)
	if err != nil {
		return "", err
	}
	return tokenString, nil
}

ログインルートでの使用例：

package main

import (
	"net/http"

	"github.com/gin-gonic/gin"
)

// LoginInput defines the expected input for a login request
type LoginInput struct {
    Username string `json:"username" binding:"required"`
    Password string `json:"password" binding:"required"`
}

// LoginHandler handles user authentication and token issuance
func LoginHandler(c *gin.Context) {
    var input LoginInput
    if err := c.ShouldBindJSON(&input); err != nil {
        c.JSON(http.StatusBadRequest, gin.H{"error": err.Error()})
        return
    }

    // In a real application, you'd verify credentials against a database
    if input.Username == "user" && input.Password == "password" { // Dummy credentials
        token, err := GenerateToken(input.Username)
        if err != nil {
            c.JSON(http.StatusInternalServerError, gin.H{"error": "Failed to generate token"})
            return
        }
        c.JSON(http.StatusOK, gin.H{"token": token})
    } else {
        c.JSON(http.StatusUnauthorized, gin.H{"error": "Invalid credentials"})
    }
}

5. JWT検証ミドルウェア

これは、認証システムのコアです。このGinミドルウェアは、保護されたルートへのリクエストをインターセプトし、JWTを抽出し、その署名を検証し、クレームを解析します。

package main

import (
	"fmt"
	"net/http"
	"strings"

	"github.com/gin-gonic/gin"
	"github.com/golang-jwt/jwt/v5"
)

// AuthMiddleware is a Gin middleware to verify JWT tokens
func AuthMiddleware() gin.HandlerFunc {
	return func(c *gin.Context) {
		authHeader := c.GetHeader("Authorization")
		if authHeader == "" {
			c.JSON(http.StatusUnauthorized, gin.H{"error": "Authorization header required"})
			c.Abort()
			return
		}

		// Expected format: Bearer <token>
		headerParts := strings.Split(authHeader, " ")
		if len(headerParts) != 2 || headerParts[0] != "Bearer" {
			c.JSON(http.StatusUnauthorized, gin.H{"error": "Invalid Authorization header format"})
			c.Abort()
			return
		}

		tokenString := headerParts[1]

		token, err := jwt.ParseWithClaims(tokenString, &MyCustomClaims{}, func(token *jwt.Token) (interface{}, error) {
			// Validate the signing method
			if _, ok := token.Method.(*jwt.SigningMethodHMAC); !ok {
				return nil, fmt.Errorf("unexpected signing method: %v", token.Header["alg"])
			}
			return jwtSecret, nil
		})

		if err != nil {
			// Handle various JWT errors
			if ve, ok := err.(*jwt.ValidationError); ok {
				if ve.Errors&jwt.ValidationErrorMalformed != 0 {
					c.JSON(http.StatusUnauthorized, gin.H{"error": "That's not even a token"})
					c.Abort()
					return
				} else if ve.Errors&(jwt.ValidationErrorExpired|jwt.ValidationErrorNotValidYet) != 0 {
					c.JSON(http.StatusUnauthorized, gin.H{"error": "Token is either expired or not active yet"})
					c.Abort()
					return
				} else {
					c.JSON(http.StatusUnauthorized, gin.H{"error": "Couldn't handle this token"})
					c.Abort()
					return
				}
			}
			c.JSON(http.StatusUnauthorized, gin.H{"error": "Invalid token"})
			c.Abort()
			return
		}

		if claims, ok := token.Claims.(*MyCustomClaims); ok && token.Valid {
			// Token is valid, store claims in context for downstream handlers
			c.Set("username", claims.Username)
			c.Next() // Proceed to the next handler
		} else {
			c.JSON(http.StatusUnauthorized, gin.H{"error": "Invalid token claims"})
			c.Abort()
		}
	}
}

6. Ginルートへのミドルウェアの統合

最後に、AuthMiddlewareをGinルーターに統合します。

package main

import (
	"github.com/gin-gonic/gin"
	"net/http"
)

func main() {
	r := gin.Default()

	// Public route for login
	r.POST("/login", LoginHandler)

	// Protected routes that require JWT authentication
	protected := r.Group("/api")
	protected.Use(AuthMiddleware()) // Apply the authentication middleware
	{
		protected.GET("/profile", func(c *gin.Context) {
			// Access username from context after successful authentication
			username, _ := c.Get("username")
			c.JSON(http.StatusOK, gin.H{"message": "Welcome to your profile, " + username.(string)})
		})
		protected.GET("/dashboard", func(c *gin.Context) {
			c.JSON(http.StatusOK, gin.H{"message": "This is your dashboard!"})
		})
	}

	r.Run(":8080") // Listen and serve on 0.0.0.0:8080
}

アプリケーションシナリオ

GinミドルウェアによるこのJWT認証パターンは、以下に最適です。

  • RESTful API: Webおよびモバイルアプリケーションのエンドポイントを保護します。
  • マイクロサービス: サービス間のリクエストを認証します。
  • シングルページアプリケーション（SPA）: React、Angular、Vue.jsなどのフロントエンドフレームワークのステートレス認証メカニズムを提供します。
  • ゲートウェイ: APIゲートウェイの場合、特定のサービスにリクエストをルーティングする前の初期認証レイヤーとして機能できます。

結論

Ginミドルウェアを使用したJWTの発行と検証の実装は、Goアプリケーションでユーザーを認証し、APIエンドポイントを保護するための強力でスケーラブルで安全な方法を提供します。認証ロジックを一元化し、JWTの自己完結型の性質を活用することで、堅牢でパフォーマンスの高いWebサービスを構築できます。このアプローチにより、最終的に開発者は自信を持って安全で効率的なGoベースのAPIバックエンドを構築できるようになります。

Share this article

HackerNews

More Posts from Leapcell

cover

効率的なデータハンドリングのための高度なGORMテクニック

cover

SQLインジェクションからの防御：プリペアドステートメント

Popular Posts