Firebase Authentication で学ぶ ソーシャルログイン入門 ID 管理の原則にそった実装のベストプラクティス

本書では、Firebase Authentication の利用を例に、「未登録」「仮登録」「本登録」「一時凍結」「退会」といった ID ライフサイクルをもとに、ログインやリカバリーなど、ソーシャルログインまわりに必要な機能を洗い出し、実装していきます。本書を読めば、ライフサイクルをもとにしたソーシャルログインを正しく理解し、ID 管理の原則を学ぶことができるはずです。認証のプロを目指す若手の認証基盤担当や、アプリでログインまわりを作ることになった方など、ソーシャルログインをアプリに実装したいすべての方に向けた必読の一冊です。

SNS のアカウントでアプリに登録し、ログインする仕組みを、ID の一生をたどりながら設計と実装の両面で学べる本が『Firebase Authentication で学ぶ ソーシャルログイン入門』です。著者は Auth 屋、監修はいとう りょう、版元は翔泳社で、2022 年 12 月 12 日に発売されました。副題は「ID 管理の原則にそった実装のベストプラクティス」で、Firebase Authentication を例に「未登録」「仮登録」「本登録」「一時凍結」「退会」という ID ライフサイクルをもとに、ログインやリカバリーといった必要な機能を洗い出して実装していく構成です。

ID 連携と認証の役割分担を押さえる意味

ソーシャルログインは ID 連携とも呼ばれ、アプリは IdP (ID プロバイダー) から「今、ログインしているのは誰か」という属性情報を受け取り、それを登録とログインに使います。パスワードの照合や 2 段階認証のような本人確認そのものは IdP が受け持つため、アプリ側が責任を持つのは、受け取った ID を自分のサービスの利用者とどう結び付け、どう管理するかという部分です。この結び付けの段階では、技術的には OAuth 2.0 の上に本人確認の層を足した OpenID Connect の仕組みが使われることが多いのですが、プロトコルを正しく呼び出せても、同じ人が別の IdP で来たときの扱いや、IdP のアカウントを失った人の救済まで決めていなければ、運用で破綻します。版元の紹介文が、機能を一から作るのは難しく、間違った実装は脆弱性の原因にもなると述べ、IDaaS の利用を勧めているのはこのためです。本書が題材に選んだ Firebase の認証機能は、Google や GitHub といった IdP 経由のログインを比較的簡単に組み込めるサービスとして紹介されています。

全 7 章の構成、IDaaS から Firebase Auth 単体まで

Chapter 1 は IDaaS を使ったソーシャルログインで、ユーザー認証の実装コストを起点にソーシャルログインと IDaaS を勧める理由を整理し、Firebase Authentication を紹介します。Chapter 2 では Firebase UI を用いたログイン画面を実装し、サンプルアプリの構成、Firebase コンソールでの準備、デプロイの準備、ログインの実装と進みます。Chapter 3 はソーシャルログインを実現するにはと題して、ソーシャルログインの仕組み、Firebase Auth を使った場合の仕組み、ID 管理機能を解説します。Chapter 4 から Chapter 6 がライフサイクルに沿った実装の中心で、Chapter 4 はソーシャルログイン、本登録、仮登録、Chapter 5 はリカバリー、Chapter 6 は登録情報の変更、一時凍結と再有効化、退会を扱います。この 3 章には、いずれも設計と実装のポイントという節が置かれています。最後の Chapter 7 は Firebase Auth 単体での利用で、ファイル配信、ログイン、ログアウト、ユーザーの物理削除といった節が並びます。

認証基盤の担当者とログイン機能を任された開発者へ

版元が想定する読者は、認証のプロを目指す若手の認証基盤担当や、アプリでログインまわりを作ることになった人です。サンプルアプリを Firebase コンソールで準備して動かす流れなので、Web アプリの基本的な作り方と、クラウドのサービスを設定して使う手順には慣れておくと進めやすくなります。一方で、OAuth 2.0 や OpenID Connect の仕様そのものを細部まで読み解きたい人や、Firebase を使わずに自前で IdP を構築したい人には、目次の上では中心の題材になっていません。Firebase の画面や API は刊行後に変わる可能性があるため、手順は 2022 年 12 月時点のものとして読み、どの状態のときにどの機能が要るかという設計の考え方を持ち帰るのが効率的です。

ログイン画面は作れたものの、仮登録のまま放置された利用者や、SNS のアカウントを失った利用者をどう扱うかで手が止まっている人にとって、ID ライフサイクルという一本の軸で機能を洗い出せる本書は、設計の抜け漏れを減らす手がかりになります。ソーシャルログインを自分のアプリに組み込む前に、全体像を一度通しておきたい人に勧められる一冊です。