HandlerInterceptorを利用して認証処理を組み込むとOpenAPI仕様書の生成がタイムアウトする

[tsuna-can-se]

HandlerInterceptorを用いてトークン認証の処理を実装しています。
この状態でOpenAPI仕様書を生成すると、ConditionTimeoutExceptionが発生し、処理が正常に完了しません。
HandlerInterceptorの処理をすべてコメントアウトすると、OpenAPI仕様書の出力は正常に行われます。

どのように設定・実装すれば、HandlerInterceptorをアプリケーションに組み込めるか教えてください。

[rnakagawa16]

原因

OpenAPI仕様書の生成において、 ConditionTimeoutExceptionが発生する原因としては以下があげられます。

• OpenAPI仕様書生成時に、 http://example.com/api-docs (OpenAPI仕様書の閲覧先) にアクセスする
• アクセスする際に HandlerInterceptor による認証処理が挟むが Token などの認証情報がないためアクセス拒否される
• ConditionTimeoutExceptionが発生し、処理が正常に完了しない

解決方法

HandlerInterceptor を適用する箇所に以下のように記載します。

@Configuration
public class WebConfig implements WebMvcConfigurer {

  @Override
  public void addInterceptors(InterceptorRegistry registry) {
    // LoginInterceptor は HandlerInterceptor の具象クラス
    registry.addInterceptor(new LoginInterceptor()).excludePathPatterns("/api-docs");
  }
}

これにより、OpenAPI仕様書のアクセス先に対しては認証処理を含めずに済みます。

認証処理をHandlerInterceptorで実装すること

ここまで対処方法について記載してきましたが、 AlesInfiny Maia では認証処理の実装に SecurityFilterChain を利用することを推奨しています。

HandlerInterceptor による認証処理については、Token のチェックなどを自作することになり、

• 不十分な実装となり、 iss や exp などの Claim のチェックが漏れるリスクがある
• 認証を含めるリクエストと含めないリクエストの振り分けを addInterceptor で一括管理することになり実装漏れとなるリスクがある

よって、 SecurityFilterChain および @EnableWebSecurity 、 @EnableMethodSecurity を利用して認証の検証を実施するとよいかと思います。

SecurityFilterChain : https://docs.spring.io/spring-security/reference/servlet/architecture.html#servlet-securityfilterchain
EnableWebSecurity : https://spring.pleiades.io/spring-security/site/docs/current/api/org/springframework/security/config/annotation/web/configuration/EnableWebSecurity.html
EnableMethodSecurity : https://docs.spring.io/spring-security/reference/servlet/authorization/method-security.html

実装例については以下の通りです。

https://github.com/AlesInfiny/maia/blob/main/samples/azure-ad-b2c-sample/auth-backend/web/src/main/java/com/dressca/web/security/WebSecurityConfig.java