FastAPIを使用したセッションベースの認証: ステップバイステップガイド

FastAPIとセッションベースの認証

FastAPIは、Pythonで高性能なWeb APIを構築するための現代的で高速（高性能）なWebフレームワークです。セッションベースの認証は、Webアプリケーションで一般的に使用される認証方法の一つです。

セッションベースの認証とは何か

セッションベースの認証は、ユーザーがログインするとサーバーがセッションを作成し、そのセッションIDをクライアント（通常はWebブラウザ）に送信するという仕組みです。クライアントは、その後のリクエストでこのセッションIDをサーバーに送信します。これにより、サーバーはユーザーを認識し、適切な応答を提供できます。

FastAPIでのセッションベースの認証

FastAPIでは、セッションベースの認証を実装するために、fastapi-securityというライブラリを使用できます。このライブラリは、FastAPIの依存性注入システムを活用して、セッションベースの認証を簡単に実装できます。

以下に、FastAPIでのセッションベースの認証の基本的なステップを示します。

from fastapi import FastAPI, Depends
from fastapi.security import HTTPBasic, HTTPBasicCredentials

security = HTTPBasic()

app = FastAPI()

@app.get("/users/me")
def read_current_user(credentials: HTTPBasicCredentials = Depends(security)):
    return {"username": credentials.username, "password": credentials.password}

このコードは、FastAPIとfastapi-securityを使用して、基本的なセッションベースの認証を実装した例です。この例では、ユーザー名とパスワードを使用してユーザーを認証します。

FastAPIとセッションベースの認証を組み合わせることで、高性能でセキュアなWeb APIを簡単に構築できます。

セットアップと依存関係

FastAPIとセッションベースの認証を使用するためのセットアップと依存関係について説明します。

環境のセットアップ

まず、Pythonの環境をセットアップする必要があります。Python 3.6以上をインストールしてください。また、仮想環境の作成を推奨します。これは、プロジェクトの依存関係を隔離し、他のプロジェクトとの競合を防ぐためです。

Pythonの仮想環境は、以下のコマンドで作成できます。

python3 -m venv env

そして、仮想環境をアクティブにします。

source env/bin/activate

依存関係のインストール

次に、FastAPIとセッションベースの認証に必要な依存関係をインストールします。これには、FastAPI自体と、セッションベースの認証をサポートするfastapi-securityライブラリが含まれます。

以下のコマンドでこれらの依存関係をインストールできます。

pip install fastapi fastapi-security

これで、FastAPIとセッションベースの認証のセットアップと依存関係の準備が整いました。次のステップでは、ユーザーデータベースの作成に進みます。

ユーザーデータベースの作成

セッションベースの認証を実装するためには、まずユーザー情報を保存するデータベースが必要です。このセクションでは、PythonのORMライブラリであるSQLAlchemyを使用してユーザーデータベースを作成する方法を説明します。

SQLAlchemyのインストール

SQLAlchemyは、PythonでSQLデータベースを操作するためのライブラリです。以下のコマンドでインストールできます。

pip install sqlalchemy

データベースモデルの作成

次に、ユーザーデータベースのモデルを作成します。このモデルは、データベースの各行がどのようなデータを持つべきかを定義します。

from sqlalchemy import Column, Integer, String
from sqlalchemy.ext.declarative import declarative_base

Base = declarative_base()

class User(Base):
    __tablename__ = "users"

    id = Column(Integer, primary_key=True, index=True)
    username = Column(String, unique=True, index=True)
    hashed_password = Column(String)

このコードは、usersという名前のテーブルを作成し、それぞれのユーザーにid、username、hashed_passwordの3つのフィールドを持たせます。

データベースの作成

最後に、以下のコマンドを実行してデータベースを作成します。

from sqlalchemy import create_engine
from sqlalchemy.orm import sessionmaker

DATABASE_URL = "sqlite:///./test.db"

engine = create_engine(DATABASE_URL)
SessionLocal = sessionmaker(autocommit=False, autoflush=False, bind=engine)

Base.metadata.create_all(bind=engine)

これで、ユーザーデータベースの作成が完了しました。次のステップでは、セッションの作成に進みます。

セッションの作成

セッションベースの認証では、ユーザーがログインするとサーバーがセッションを作成し、そのセッションIDをクライアントに送信します。このセクションでは、FastAPIでセッションを作成する方法を説明します。

セッション管理ライブラリのインストール

まず、セッション管理を行うためのライブラリをインストールします。ここではitsdangerousというライブラリを使用します。以下のコマンドでインストールできます。

pip install itsdangerous

セッションの作成

次に、セッションを作成します。以下のコードは、itsdangerousを使用してセッションを作成する例です。

from itsdangerous import URLSafeTimedSerializer

SECRET_KEY = "your-secret-key"
salt = "your-salt"

serializer = URLSafeTimedSerializer(SECRET_KEY)

def create_session(user_id):
    session = {"user_id": user_id}
    return serializer.dumps(session, salt=salt)

このコードは、ユーザーIDを含むセッションを作成し、それをシリアライズしてクライアントに送信できる形式に変換します。

以上が、FastAPIでのセッションの作成方法です。次のステップでは、ユーザー登録に進みます。

ユーザー登録

ユーザー登録は、ユーザーが自分の情報を提供し、それをデータベースに保存するプロセスです。このセクションでは、FastAPIでユーザー登録を実装する方法を説明します。

パスワードハッシュ化ライブラリのインストール

まず、パスワードを安全に保存するために、パスワードハッシュ化ライブラリをインストールします。ここではpasslibというライブラリを使用します。以下のコマンドでインストールできます。

pip install passlib[bcrypt]

ユーザー登録の実装

次に、ユーザー登録を実装します。以下のコードは、FastAPIでユーザー登録を実装する例です。

from passlib.context import CryptContext
from sqlalchemy.orm import Session

pwd_context = CryptContext(schemes=["bcrypt"], deprecated="auto")

def register_user(db: Session, username: str, password: str):
    hashed_password = pwd_context.hash(password)
    user = User(username=username, hashed_password=hashed_password)
    db.add(user)
    db.commit()
    db.refresh(user)
    return user

このコードは、ユーザー名とパスワードを受け取り、パスワードをハッシュ化してからデータベースに保存します。

以上が、FastAPIでのユーザー登録の方法です。次のステップでは、セッションベースの認証の実装に進みます。

セッションベースの認証の実装

セッションベースの認証は、ユーザーがログインするとサーバーがセッションを作成し、そのセッションIDをクライアントに送信するという仕組みです。このセクションでは、FastAPIでセッションベースの認証を実装する方法を説明します。

ログインルートの作成

まず、ユーザーがログインできるように、ログインルートを作成します。以下のコードは、FastAPIでログインルートを作成する例です。

@app.post("/login")
def login(username: str, password: str, db: Session = Depends(get_db)):
    user = get_user(db, username)
    if not user or not verify_password(password, user.hashed_password):
        raise HTTPException(status_code=400, detail="Incorrect username or password")
    session_id = create_session(user.id)
    response = RedirectResponse(url="/")
    response.set_cookie(key="session_id", value=session_id)
    return response

このコードは、ユーザー名とパスワードを受け取り、それらがデータベースに保存されている情報と一致するかを確認します。一致する場合、新しいセッションを作成し、そのセッションIDをクライアントに送信します。

ユーザー認証の実装

次に、ユーザーが認証されていることを確認するための依存関係を作成します。以下のコードは、FastAPIでユーザー認証を実装する例です。

def get_current_user(session_id: str = Cookie(None), db: Session = Depends(get_db)):
    if session_id is None:
        raise HTTPException(status_code=403, detail="Not authenticated")
    session_data = verify_session(session_id)
    if session_data is None:
        raise HTTPException(status_code=403, detail="Not authenticated")
    user_id = session_data["user_id"]
    user = get_user(db, user_id)
    if user is None:
        raise HTTPException(status_code=403, detail="Not authenticated")
    return user

このコードは、クライアントから送信されたセッションIDを受け取り、それが有効なセッションであることを確認します。有効なセッションである場合、そのセッションに関連付けられたユーザーを返します。

以上が、FastAPIでのセッションベースの認証の実装方法です。次のステップでは、テストとデバッグに進みます。

テストとデバッグ

FastAPIで実装したセッションベースの認証をテストし、デバッグする方法について説明します。

テストライブラリのインストール

まず、テストを行うためのライブラリをインストールします。ここではpytestというライブラリを使用します。以下のコマンドでインストールできます。

pip install pytest

テストケースの作成

次に、テストケースを作成します。以下のコードは、FastAPIでテストケースを作成する例です。

def test_register_user():
    username = "testuser"
    password = "testpassword"
    user = register_user(db, username, password)
    assert user.username == username
    assert verify_password(password, user.hashed_password)

def test_login():
    username = "testuser"
    password = "testpassword"
    response = client.post("/login", data={"username": username, "password": password})
    assert response.status_code == 200
    assert "session_id" in response.cookies

これらのテストケースは、ユーザー登録とログインが正しく機能していることを確認します。

テストの実行

最後に、以下のコマンドを実行してテストを行います。

pytest

テストがすべてパスすれば、セッションベースの認証が正しく機能していることが確認できます。

以上が、FastAPIでのテストとデバッグの方法です。これらのステップを踏むことで、セッションベースの認証が正しく機能していることを確認し、必要に応じてデバッグできます。これにより、安全で信頼性の高いWeb APIを提供することができます。