【Express.js Cognito】アクセストークン検証用の認証ミドルウェアを実装する

npm install jsonwebtoken jwks-rsa

export class AWSCognitoConfig {
  private static instance: AWSCognitoConfig;

  private readonly region: string;
  private readonly userPoolId: string;
  private readonly appClientId: string;

  private constructor() {
    // リージョン
    this.region = "ap-northeast-1";
    // ユーザープールID
    this.userPoolId = "xxxxxxxxxxxxxx";
    // アプリクライアントID
    this.appClientId = "xxxxxxxxxxxxxx";
  }

  public static getInstance(): AWSCognitoConfig {
    if (!AWSCognitoConfig.instance) {
      AWSCognitoConfig.instance = new AWSCognitoConfig();
    }
    return AWSCognitoConfig.instance;
  }

  public get getRegion(): string {
    return this.region;
  }

  public get getUserPoolId(): string {
    return this.userPoolId;
  }

  public get getAppClientId(): string {
    return this.appClientId;
  }
}

import { Request, Response, NextFunction } from "express";
import jwt from "jsonwebtoken";
import jwksClient from "jwks-rsa";
import { AWSCognitoConfig } from "../config/aws/cognito";

// Cognito設定情報
const cognitoConfig = AWSCognitoConfig.getInstance();

/**
 * 指定された JWKS URL から公開鍵を取得するためのクライアントを作成
 * このクライアントは、JWTが持っている kid（Key ID）ヘッダーを使って、
 * トークンの署名に使用された正確な公開鍵を見つけ出す
 */
const client = jwksClient({
  // AWS Cognito ユーザープールの JWKS (公開鍵セット) の場所
  jwksUri: `https://cognito-idp.${cognitoConfig.getRegion}.amazonaws.com/${cognitoConfig.getUserPoolId}/.well-known/jwks.json`,
});

/**
 * JWTのkid（キーID）を使用して適切な公開鍵を取得
 */
function getKey(header: jwt.JwtHeader, callback: jwt.SigningKeyCallback) {
  // 指定された kid を持つキーを JWKS から検索
  client.getSigningKey(header.kid!, (err, key) => {
    const signingKey = key?.getPublicKey();
    callback(null, signingKey);
  });
}

/**
 * このミドルウェアはJWTのkid（キーID）を使用して適切な公開鍵を取得し、トークンの署名を検証する。
 * トークンが有効であれば、リクエストオブジェクトにユーザー情報を追加し、処理を次のミドルウェアに渡す。
 * トークンが無効であれば、401 Unauthorizedエラーを返します。
 */
export const checkAuth = (req: Request, res: Response, next: NextFunction) => {
  // リクエストヘッダーからaccessTokenを取得
  const token = req.headers.authorization?.split(" ")[1];
  if (!token) {
    // トークンがセットされていない場合はエラーを返す
    return res.status(401).send({ message: "Authentication token is missing" });
  }

  // トークンの署名を検証
  jwt.verify(
    token,
    getKey,
    {
      algorithms: ["RS256"],
    },
    (err, decoded) => {
      if (err) {
        // トークンが無効な場合は401 Unauthorizedエラーにする
        return res.status(401).send({ message: "Unauthorized: Invalid token" });
      }
      // トークンが有効な場合、デコードされたユーザー情報をリクエストに追加
      req.user = decoded;
      // 次のミドルウェアへ処理を渡す
      next();
    }
  );
};

import express from "express";
import {
  createJobType,
} from "../controllers/JobTypeController";
import { checkAuth } from "../middleware/authMiddleware";

const router = express.Router();

// リソースへのアクセス前に、認証ミドルウェアを実行する
router.post("/job-type/create", checkAuth, createJobType);

export default router;