【要約】Django Rest Framework（DRF）JWT 認証 API チュートリアル [Zenn_Python] | Summary by TechDistill
> Source: Zenn_Python
Execute Primary Source
// Problem
開発者がモダンなWebアプリケーションを構築する際、認証情報の管理方法に深刻な課題を抱える。特に、JWTをlocalStorage等に保存する一般的な手法では、XSS攻撃によるトークン窃取のリスクを排除できない。
- ・XSS攻撃による認証トークンの窃取リスク。
- ・ステートレスな認証と高いセキュリティの両立。
- ・フロントエンド（Next.js等）とバックエンド分離時の認証情報の安全な受け渡し。
// Approach
開発者は、セキュリティ強度を高めるために、JWTをHttpOnly Cookieで管理する手法を採用した。これにより、JavaScriptからのトークンアクセスを物理的に遮断する。
- ・
djangorestframework-simplejwtを基盤として利用。 - ・
JWTCookieAuthenticationを自作し、Cookieからトークンを抽出する仕組みを構築。 - ・
TokenObtainPairViewをオーバーライドし、ログイン成功時にトークンをCookieへセット。 - ・
TokenRefreshViewを拡張し、Cookie内のリフレッシュトークンを用いて更新処理を実行。
// Result
実装により、JavaScriptからアクセス不可能なセキュアな認証基盤が構築された。これにより、フロントエンドが分離された環境でも安全な認証が可能となる。
- ・XSS攻撃に対する耐性の向上。
- ・
access_token（15分）とrefresh_token（1日）による適切な有効期限管理。 - ・DRFの標準機能を活かした、拡張性の高い認証フローの実現。
Senior Engineer Insight
> 実戦的な構成である。特にHttpOnly Cookieの採用は、フロントエンド分離構成におけるセキュリティの定石だ。ただし、Cookie利用時はCSRF対策が必須となる。
SameSite='Lax'の設定は最低限の防御だが、本番環境ではより厳格な検証が必要だ。また、カスタム認証クラスの導入は、既存のDRFエコシステムとの整合性を保ちつつ、柔軟な認証ロジックを実現しており、設計思想として高く評価できる。