EC-CUBE名古屋定期勉強会 vol.36 2016/10/01

1. EC-CUBE API プラグイン勉強会
EC-CUBE名古屋定期勉強会 vol.36
@_aromaforest 2016/10/01
大河内健太郎

2. 自己紹介
• 名前: 大河内健太郎(@nanasess) 年齢: 39才
• 出身: 愛知県西尾市一色町
• 在住: 宝塚市
• 前職: 寿司屋の板前(安城市の「ひで寿司」)
• 資格: 調理師・ふぐ処理師
• Mac OS X / Microsoft Azure / FreeBSD 使ってます
• EC-CUBE コミッター・公式エバンジェリスト
• 最近のマイブーム: 秋の渡り

3. AGENDA
• API 開発の背景
• 認証の仕様と実装について
• EC-CUBE API プラグインでできること

4. API 開発の背景
• 今時 API なんて当たり前だよね。
みんなやってるし
• IoT とかシングルサインオンとかしたいよね
• EC-CUBE でも API つくろうぜ
↑ 2系よりちゃんとしたやつ

5. 簡単に言うなΣ(´Д｀lll)

6. EC-CUBE の情報を扱うリスク
• 個人情報満載
• さらに決済に係わる情報も持ってる
• セキュリティ対策の不備で重過失と認定される危険

7. EC-CUBE API の要件
• 全機能API対応
※ 2015年9月期第1四半期決算説明資料より
※ 開発指針はこちら→https://ec-cube.github.io/api

8. ( ﾟдﾟ)
安心安全かつ、柔軟なAPIの提供が望まれています。

9. 認証について
• OAuth2.0(RFC6749)/OpenID Connect を採用
• Web API 認証のデファクトスタンダード
• ちゃんとやろうとすると超大変

10. OAuth2.0 って？
• Twitter とか Facebook のソーシャルログインで
使われるやつ。認可フレームワークの仕様
• みんなよくやってるじゃん
↑よくやってるのはクライアント側の実装
• 今回やらなきゃいけないのはサーバー側の実装
OAuth 2.0 Authorization Protocol - RFC 6749
http://openid-foundation-japan.github.io/rfc6749.ja.html

11. OpenID Connect って？
• OAuth2.0 の拡張版
• アプリケーション間の認証を安全に行うための仕様
→相互妥当性検証が可能
• OpenID Authorization 2.0 とは別物
OpenID Connect Core 1.0
http://openid-foundation-japan.github.io/openid-connect-core-1_0.ja.html

12. まとめると
• 第三者のアプリケーションにユーザーID&パスワードを渡さずに
• 誰を認証するか - 認証(Authentication)
• 誰が誰に何の権限を与えるか - 認可(Authorization)
を実現するための仕様です

13. EC-CUBE API における認証
• 安全に認証を提供するには OpenID Connect 以外に選択肢が無い
• PHP のオープンソースCMSでちゃんとやっているものは少ない
• 当初全部自分で書くのを覚悟していた。。。

14. すばらしいものを発見
• https://github.com/bshaffer/oauth2-server-php
• PHP の OAuth2.0 サーバーの実装
• OpenID Connect もサポートしているらしい
• Google の中の人 (たぶん) がつくってる
• ドキュメント少ないけど Doctrine2 や Symfony2 の実装サンプルが
あった！

15. だが楽ではない
• それでも多くの部分を自分で書く必要がある
• Silex での実装は github に公開されているもので 36件。多くはデモやサンプルなので
本気なやつは皆無
• OpenID Certification のリストに無いので、どれだけ仕様を満たしているか不明
• RFCなどの標準仕様と oauth2-server-php のソースを確認しつつ
EC-CUBE に実装していく地味なお仕事
• 一通り自力でエンドポイントの実装を書いたあと、「これ設定だけでできるじゃん…
」と判明したのがいくつか

16. EC-CUBE API でサポートした仕様
• OpenID Connect Core の主要部分
• Authorization Code flow(Webアプリ向け) と
Implicit flow(ネイティブアプリ向け)
• OAuth2.0 も包括
• その他 Google Identity Platform などを参考に追加実装している機能
もある
• 仕様書は Swagger で記述。 Swagger UI で簡単に試せる！

17. Customer と Member
• Customer(フロント側) と Member(管理画面側) に認証を提供している
• APIクライアント(OAuth2.0クライアント)は、各ユーザーと1対1の関
係
• Member は 管理画面→設定→システム情報設定→メンバー管理の編集
画面から「APIクライアント一覧」より設定
• Customer は Myページの隠しURL(/mypage/api) から設定

18. 未サポートのもの
• OpenID Connect Core のうち OPTIONAL 扱いのもの
• Prompt パラメータ
• Display パラメータ
• Hybrid flow
• Public Client(Non-Confidential Client)
• Dynamic Registration/Discovery などの関連仕様など

19. 認証の流れを試してみよう
Authorization code flow のチュートリアル
http://ec-cube.github.io/api_authorization.html#link12
Implicit flow は Swagger UI で簡単に試せます

20. 実装について
• CSRF 防止のための state パラメータは必須
• OAuth2.0 では推奨となっているため、サポートしていない
クライアント/SDKが多い
• 各言語のサンプルあり
• Java, JavaScript, Python, PHP, C#
• Google OAuth 2.0 Playground でも試せます

21. 追加仕様
• Google Identity Provider を参考に追加実装したもの
• tokeninfo エンドポイント
• id_token を渡すと詳細情報を JSON で返す
• urn:ietf:wg:oauth:2.0:oob
• redirect_uri に設定すると、ブラウザのアドレスバーに
Authorization code を返してくれる

22. 実装について2
• Customer/Member ごとに UserInfo と id_token の Public key が生成されま
す
• UserInfo::sub は Public key の thumbprint です
• シングルサインオンをしたい場合は、もうちょっと改良した方がいい
• 実装してみました→https://github.com/EC-CUBE/eccube-
api/issues/39#issuecomment-249765124
• id_token の検証は https://jwt.io/ が便利

23. EC-CUBE API プラグイン
• 認証 + 全テーブルの CRUD を提供
• https://github.com/EC-CUBE/eccube-api
• フィードバックお待ちしてます！

24. CRUD APIについて
• Restful な API
• Create=POST, Read=GET, Update=PUT, Delete=DELETE
• Member の APIクライアント編集画面から簡単に試せます！
• 一般公開されている商品などは認証不要
• 削除は del_flg のあるテーブルのみサポート
• 整合性チェックは DB に依存→参照整合性制約違反の場合は DB エラーになる

25. CRUD APIについて
• JSON <-> Entity の Mapper を独自に開発
• 複合キーのテーブルは URL が変わるので注意
• https://<eccube-url>/api/v0/{table_name}/key1/value1/key2/value2
• Doctrine の Metadata を読みとって JSON と Entity をマッピングしている
• テーブル定義が変わると API 定義まで変わってしまう...

26. JSON フォーマット
• オブジェクトのプロパティがコレクションの場合は, キー情報のみの配列を返す
• オブジェクトのプロパティがオブジェクトの場合は, キー情報のみのオブジェク
トを返す
• 結果が配列の場合は、結果のオブジェクトに配列がセットされる
• 例はこちら
https://gist.github.com/nanasess/ee253434ef6a669095480342164bcff3

27. クライアントのデモ

28. 今後
• OpenID Connect Provider Certification を取得したい
• サービス指向の高レベルAPIを作りたい
• 2系に移植できれば夢が広がる

29. 質疑応答

30. ご静聴ありがとうございました！