FastAPIで完璧なブログを構築する：ユーザーシステムを追加

前の記事では、FastAPIを使用して基本的な個人ブログを構築し、正常にデプロイしました。

しかし、このブログには深刻なセキュリティ上の問題があります。誰でも自由に記事を作成できてしまいます。

次のチュートリアルでは、このブログにユーザーおよび認証システムを追加して、より安全にしていきます。

早速始めましょう。

認証方法の紹介

Web開発において、最も一般的な認証方法は トークンベース（例：JWT） と セッションベース（Cookie） の2つです。

JWT（JSON Web Tokens）: 現在最も人気のある認証方法です。ユーザーがログインすると、サーバーはトークンを生成し、クライアントに返します。クライアントは後続のリクエストにこのトークンを含め、サーバーはトークンを検証するだけでユーザーの身元を確認できます。サーバーはユーザーの状態を保存する必要がないため、この方法は分散型で水平スケーラブルな大規模アプリケーションに非常に適しています。
セッション-Cookie: ユーザーがログインすると、サーバーはセッションを作成し、Cookieを介してセッションIDをブラウザに返します。ブラウザは後続のリクエストにこのCookieを自動的に含めます。サーバーはセッションIDに基づいて対応するセッション情報を検索することで、ユーザーを識別します。

このチュートリアルでは、従来のセッション-Cookie方式を選択します。ブログはシンプルなアーキテクチャのモノリスであるため、認証にセッション-Cookiesを使用するのが最も直接的で古典的、かつ十分に安全なアプローチです。

認証を処理できるようになる前に、まずユーザーシステムが必要です。

models.py ファイルを開き、Post クラスの上に User モデルを追加します。

最初の記事で main.py に create_db_and_tables 関数を実装したため、アプリケーション起動時にすべてのSQLModelモデルが自動的に検出され、対応するデータベーステーブルが作成されます。そのため、SQLステートメントを手動で実行する必要はありません。

手動でSQLを実行する必要があり、データベースがLeapcellで作成された場合、

グラフィカルインターフェイスを使用してSQLステートメントを簡単に実行できます。ウェブサイトのデータベース管理ページにアクセスし、上記のステートメントをSQLインターフェイスに貼り付けて実行するだけです。

セキュリティのため、ユーザーのパスワードをデータベースに平文で保存することは絶対に避けるべきです。パスワードのハッシュ化には bcrypt ライブラリを使用します。

まず、requirements.txt ファイルに bcrypt を追加します。

次に、インストールコマンドを実行します。

次に、ユーザーデータを処理し、パスワードを検証する関数を作成します。

プロジェクトのルートディレクトリに users_service.py という新しいファイルを作成し、ユーザー関連のビジネスロジックを格納します。

次に、ユーザー認証を処理するために auth_service.py ファイルを作成します。

ユーザーが登録およびログインするためのインターフェースを提供する必要があります。templates フォルダ内に login.html と register.html ファイルを作成します。

同時に、ヘッダーの右上隅に登録とログインへのリンクを追加するために _header.html を更新しましょう。

プロジェクト構造を明確にするために、ルーティングロジックを異なるファイルに分割します。

プロジェクトのルートディレクトリに routers フォルダを作成します。
main.py から Post 関連のすべてのルート（@app.get("/posts", ...) など）をカットし、routers/posts.py ファイルに貼り付けます。

注意：@app デコレータを @router に置き換えています。
routers フォルダ内に、ユーザー登録を処理する users.py を作成します。
routers フォルダ内に、ユーザーログインを処理する auth.py を作成します。
最後に、main.py を更新して古いルートを削除し、新しいルーターファイルを含めます。