APIセキュリティ

import { AuthenticationClient } from 'auth0';

const auth0Client = new AuthenticationClient({
  domain: 'dex.asia.auth.chainstream.io',
  clientId: process.env.CHAINSTREAM_CLIENT_ID,
  clientSecret: process.env.CHAINSTREAM_CLIENT_SECRET
});

const { data } = await auth0Client.oauth.clientCredentialsGrant({
  audience: 'https://api.dex.chainstream.io'
});

const accessToken = data.access_token;

from auth0.authentication import GetToken

get_token = GetToken(
    'dex.asia.auth.chainstream.io',
    os.environ['CHAINSTREAM_CLIENT_ID'],
    client_secret=os.environ['CHAINSTREAM_CLIENT_SECRET']
)

token = get_token.client_credentials(
    audience='https://api.dex.chainstream.io'
)

access_token = token['access_token']

// ❌ 危険: 認証情報のハードコード
const clientId = "your_client_id";
const clientSecret = "your_secret";

// ❌ 危険: バージョン管理にコミット
// config.json: { "client_id": "...", "client_secret": "..." }

// ✅ 安全: 環境変数を使用
const clientId = process.env.CHAINSTREAM_CLIENT_ID;
const clientSecret = process.env.CHAINSTREAM_CLIENT_SECRET;

// ✅ 安全: シークレット管理サービスを使用
const credentials = await secretsManager.getSecret('chainstream-credentials');

import os

# ❌ 危険: ハードコード
client_id = "your_client_id"
client_secret = "your_secret"

# ✅ 安全: 環境変数を使用
client_id = os.environ.get('CHAINSTREAM_CLIENT_ID')
client_secret = os.environ.get('CHAINSTREAM_CLIENT_SECRET')

# ✅ 安全: シークレット管理サービスを使用（AWS Secrets Managerの例）
import boto3
client = boto3.client('secretsmanager')
credentials = client.get_secret_value(SecretId='chainstream-credentials')['SecretString']

// ❌ 危険: ハードコード
clientID := "your_client_id"
clientSecret := "your_secret"

// ✅ 安全: 環境変数を使用
clientID := os.Getenv("CHAINSTREAM_CLIENT_ID")
clientSecret := os.Getenv("CHAINSTREAM_CLIENT_SECRET")

// ❌ 危険: 証明書検証のスキップ
process.env.NODE_TLS_REJECT_UNAUTHORIZED = '0';

// ✅ 安全: 通常の証明書検証（デフォルト動作）
const response = await fetch('https://api.chainstream.io/v1/...');

import requests

# ❌ 危険: 証明書検証のスキップ
requests.get(url, verify=False)

# ✅ 安全: 通常の証明書検証（デフォルト動作）
requests.get(url)

# ❌ 危険: 証明書検証のスキップ
curl -k https://api.chainstream.io/v1/...

# ✅ 安全: 通常の証明書検証（デフォルト動作）
curl https://api.chainstream.io/v1/...

const crypto = require('crypto');

function verifyWebhookSignature(payload, signature, secret) {
  const expectedSignature = crypto
    .createHmac('sha256', secret)
    .update(JSON.stringify(payload))
    .digest('hex');
  
  return crypto.timingSafeEqual(
    Buffer.from(signature),
    Buffer.from(expectedSignature)
  );
}

// Expressミドルウェアの例
app.post('/webhook', (req, res) => {
  const signature = req.headers['x-webhook-signature'];
  const isValid = verifyWebhookSignature(
    req.body,
    signature,
    process.env.WEBHOOK_SECRET
  );
  
  if (!isValid) {
    return res.status(401).send('Invalid signature');
  }
  
  // Webhookメッセージを処理
  console.log('Received webhook:', req.body);
  res.status(200).send('OK');
});

import hmac
import hashlib
import json

def verify_webhook_signature(payload, signature, secret):
    expected_signature = hmac.new(
        secret.encode(),
        json.dumps(payload).encode(),
        hashlib.sha256
    ).hexdigest()
    
    return hmac.compare_digest(signature, expected_signature)

# Flaskの例
@app.route('/webhook', methods=['POST'])
def webhook():
    signature = request.headers.get('X-Webhook-Signature')
    is_valid = verify_webhook_signature(
        request.json,
        signature,
        os.environ['WEBHOOK_SECRET']
    )
    
    if not is_valid:
        return 'Invalid signature', 401
    
    # Webhookメッセージを処理
    print('Received webhook:', request.json)
    return 'OK', 200