Heroku での Go セッション処理

この記事の英語版に更新があります。ご覧の翻訳には含まれていない変更点があるかもしれません。

最終更新日 2022年01月26日(水)

セッションでの必要性
アプリケーションのセットアップ
デモアプリケーションの調査
セッションストレージのオプション

HTTP はステートレスプロトコルですが、ほとんどのアプリケーションでは、特定の情報 (ログイン状態やショッピングカートの内容など) を複数のリクエスト間で保持する必要があります。

セッションはソリューションであり、情報をクライアント側の暗号化された HTTP Cookie か、またはサーバー側の何らかの種類のストレージのどちらかに保存できます (HTTP Cookie では、サーバーがクライアントを識別できるようにセッション ID のみを保持する)。

このどちらのアプローチにも利点と欠点があります。この記事では、Gorilla (Go 向けの一般的な Web ツールキット) セッションパッケージを使用する Heroku で Go アプリケーションの Cookie ベースのセッションを確実に処理する方法を示します。

セッションでの必要性

dyno のステートレスの性質と水平方向へのスケーリングの必要性のため、ファイルベースのセッションストレージは使用できません。セッションが各 dyno のファイルシステムに保存されている場合、ユーザーからの次のリクエスト (この例では、ユーザーが前にログインしていると仮定しているため、このリクエストにはセッション Cookie が含まれる) は、セッション情報が存在しない別の dyno で終わる可能性があります。

以前の一般的な解決策は、ロードバランサーが常にユーザーを確実に同じバックエンドサーバーに送信するようにする “スティッキーセッション” の概念でした。このアプローチは、スケーラビリティや耐久性に悪影響を与える (バックエンドサーバーが停止した場合など) ため、さまざまな理由で問題があります。

アプリケーションのセットアップ

まず、サンプルアプリケーションのコピーを入手します。

$ go get -u github.com/heroku-examples/go-sessions-demo
$ cd $GOPATH/src/github.com/heroku-examples/go-sessions-demo

次に、Heroku でそのアプリケーションを設定しましょう。

$ heroku create
$ heroku config:set SESSION_AUTHENTICATION_KEY="<string of any length>"
$ heroku config:set SESSION_ENCRYPTION_KEY="<string of 16, 24 or 32 bytes length>"
$ git push heroku master

これをコマンドラインから実行する代わりに、GitHub リポジトリのボタンをクリックして、アプリケーションが自動的に作成および設定されるようにすることもできます。

デモアプリケーションの調査

このアプリケーションには、Web プロセスとして Procfile 内に存在する 1 つのコマンドが含まれています。

main 関数が Web プロセスへのエントリポイントになります。まず、暗号化鍵を決定し、それができない場合はエラーを出力します。暗号化鍵は、Web ブラウザに送信される前の Cookie を暗号化するために使用されます。

次に、新しい Cookie ストアを作成し、それをグローバル変数 sessionStore に割り当てます。sessionStore は、型 sessions.Store のグローバル変数として定義されます。これは、すべての Gorilla ストレージバックエンドがサポートする必要がある Go インターフェースです。

次に、デフォルトの Mux を使用してハンドラを登録し、リクエストを処理する HTTP サーバーを起動します。

func main() {
    ek, err := determineEncryptionKey()
    if err != nil {
        log.Fatal(err)
    }
    port := os.Getenv("PORT")
    if port == "" {
        log.WithField("PORT", port).Fatal("$PORT must be set")
    }

    sessionStore = sessions.NewCookieStore(
        []byte(os.Getenv("SESSION_AUTHENTICATION_KEY")),
        ek,
    )

    http.Handle("/public/", http.StripPrefix("/public/", http.FileServer(http.Dir("./public"))))
    http.HandleFunc("/favicon.ico", func(w http.ResponseWriter, r *http.Request) {
        http.Error(w, "Not Found", http.StatusNotFound)
    })
    http.HandleFunc("/login", login)
    http.HandleFunc("/logout", logout)
    http.HandleFunc("/", home)

    log.Println(http.ListenAndServe(":"+port, nil))
}```

### ハンドラ

`home` ハンドラはまず、`sessionStore` から既存のセッションを取得しようとします。存在しない場合は、代わりに 0 値のセッションが返されます。このアプリは次に、セッションからユーザー名を取得しようとします。ユーザー名が見つからないか、または文字列の内容が空である場合は、`/public/login.html` ページにリダイレクトします。このページは、`main` の [`http.FileServer`](https://golang.org/pkg/net/http/#FileServer) を使用して処理されます。そうでない場合は続行し、ユーザーに `Hello <username>` メッセージとログアウトするためのオプションを表示します。

```go
func home(w http.ResponseWriter, r *http.Request) {
    session, err := sessionStore.Get(r, SessionName)
    if err != nil {
        handleSessionError(w, err)
        return
    }

    username, found := session.Values["username"]
    if !found || username == "" {
        http.Redirect(w, r, "/public/login.html", http.StatusSeeOther)
        log.WithField("username", username).Info("Username is empty/notfound, redirecting")
        return
    }

    w.Header().Add("Content-Type", "text/html")
    fmt.Fprintf(w, "<html><body>Hello %s<br/><a href='/logout'>Logout</a></body></html>", username)
}

login ハンドラは、ログインフォームからユーザー名とパスワードを抽出し、これらの値がハードコードされている値に等しい場合は、ユーザー名がセッションに保存され、セッションが保存された後、そのユーザーが / (home ハンドラ) にリダイレクトされます。

func login(w http.ResponseWriter, r *http.Request) {
    username := r.FormValue("username")
    password := r.FormValue("password")

    log.WithFields(logrus.Fields{"username": username, "password": password}).Info("Received login request.")

    // Normally, these would probably be looked up in a DB or environment
    if username == "foo" && password == "secret" {
        session, err := sessionStore.Get(r, SessionName)
        if err != nil {
            handleSessionError(w, err)
            return
        }

        session.Values["username"] = username
        if err := session.Save(r, w); err != nil {
            handleSessionError(w, err)
            return
        }

        log.WithField("username", username).Info("completed login & session.Save")
    }

    http.Redirect(w, r, "/", 303)
}

logout ハンドラはセッションを取得し、ユーザー名を空の文字列に設定し、セッションを保存した後、そのユーザーを / (home ハンドラ) にリダイレクトします。

func logout(w http.ResponseWriter, r *http.Request) {
    session, err := sessionStore.Get(r, SessionName)
    if err != nil {
        handleSessionError(w, err)
        return
    }

    session.Values["username"] = ""
    if err := session.Save(r, w); err != nil {
        handleSessionError(w, err)
        return
    }

    log.Info("completed logout & session.Save")
    http.Redirect(w, r, "/", 302)
}

セッションストレージのオプション

このサンプルアプリケーションは、セッション情報を暗号化された、クライアント側の Cookie に保存できることを示しています。セッションはまた、Memcache や Redis などの他のデータストア、または PostgreSQL などのリレーショナルデータベースに保存することもできます。

Gorilla のセッションパッケージではストレージバックエンドへのインターフースが提供されるため、他のバックエンドへの切り替えは簡単です。たとえば、Redis をバックエンドとして使用する場合は、次のようにします。

  import redisStore "gopkg.in/boj/redistore.v1"
  ...
  func main() {
    ...
    sessionStore = redisStore.NewRediStore(5, "tcp", ":6379", "redis-password",
      []byte(os.Getenv("SESSION_AUTHENTICATION_KEY")),
      ek,
    )
    ...
  }

Categories

Heroku での Go セッション処理

Table of Contents

セッションでの必要性

アプリケーションのセットアップ

デモアプリケーションの調査

セッションストレージのオプション

関連カテゴリー