Axumで非同期認証ミドルウェアを実装する方法

2026年8月1日

もっとスキルを活かしたいエンジニアへ

スポンサードリンク

働き方から選べる

無料で使えて良質な案件の情報収集ができるサービス

エンジニアの世界では、「いつでも動ける状態を作っておけ」とよく言われます。
技術やポートフォリオがあっても、自分に合う案件情報を日常的に見れていないと、いざ動こうと思った時に比較や判断が難しくなってしまいます。
普段から案件情報が集まる環境を作っておくと、良い案件が出た時にすぐ動きやすくなりますよ。
筆者自身も、メガベンチャー勤務時代に年収1,500万円を超えた経験があります。振り返ると、技術だけでなく「どんな案件や働き方があるか」を日頃から見ていたことが、キャリアの選択肢を広げるきっかけになりました。
このブログを読んでくれた方に感謝を込めて、実際に使っている情報収集サービスを紹介します。

フルリモート・週3日・高単価、どんな条件も妥協したくないなら

フリーランスボードに無料会員登録する

利用者10万人以上。業界最大規模45万件の案件。AIマッチ機能や無料の相場情報が人気。

年収800万円以上のキャリアアップ・ハイクラス正社員を視野に入れているなら

Beyond Careerに無料相談する

内定獲得率90%以上。紹介先企業とは役員クラスのコネクションがある安心と信頼できるエージェント。

スポンサードリンク

Axumにおける認証ミドルウェアの概要

Axumフレームワークで非同期ミドルウェアを用いた認証処理は、Webアプリケーションのセキュリティとパフォーマンスの両立に不可欠です。本記事では、Rust言語で構築されたAxumにおいてasync/awaitによる非同期認証ミドルウェアをステップバイステップで実装する方法を解説します。最終的な目標は、JWTトークンの検証ロジックを含むミドルウェアを作成し、ルーターに適用することです。

Axumプロジェクトの初期設定方法

Axumベースのプロジェクトを始めるには、Cargo.tomlの構成とディレクトリ構造の設計が重要です。以下に具体的な手順を示します。

Cargo.tomlの構成例

Axumと関連するライブラリを依存関係として追加します。

[dependencies]
axum = &quot;0.6&quot;
tokio = { version = &quot;1&quot;, features = [&quot;full&quot;] }
jsonwebtoken = &quot;8.2&quot;

[dependencies]

axum = "0.6"

tokio = { version = "1", features = ["full"] }

jsonwebtoken = "8.2"

基本的なディレクトリ構造

以下のような構成が一般的です。各ファイルの役割を明確にすることで、後の開発がスムーズになります。

src/
├── main.rs
├── middleware/
│   └── auth.rs
└── handlers/
    └── user.rs

src/

├── main.rs

├── middleware/

│ └── auth.rs

└── handlers/

└── user.rs

async/awaitによる非同期処理の基礎

Axumは非同期処理を効率的に扱えるよう設計されています。async fnとawaitキーワードを使うことで、I/O待ち時間を最小限に抑えつつ高パフォーマンスなコードが実現可能です。

Futureトレイトの概要

Rustでは非同期処理を表すためにFutureトレイトを使用します。このトレイトはOutput型を返すpollメソッドを持ち、タスクの完了状態を判定します。

非同期処理の実行フロー

以下にasync/awaitでの実行フローを示します。

async fnで定義された関数はFutureオブジェクトを返す
awaitで非同期操作が完了するまで待機
完了後、Output型の結果を取得

この仕組みにより、リクエスト処理中に他のタスクを並列実行できるため、スケーラビリティが向上します。

認証ミドルウェアの基本構造設計

Axumで認証ミドルウェアを実装するには、Middlewareトレイトを実装した構造体を作成します。このミドルウェアは、リクエストを受け取り、処理を続けるか中止するかを決定します。

Middleware traitの正しい実装例

Axumではaxum::middleware::Middlewareトレイトを使用します。以下のコードが正しい実装です。

use axum::{
    middleware::{self, Next},
    Request, Response,
};
use std::future::Future;
use std::pin::Pin;

pub struct AuthMiddleware;

impl&lt;B&gt; middleware::Middleware for AuthMiddleware {
    fn call(&amp;self, req: Request&lt;B&gt;, next: Next&lt;B&gt;) -&gt; Pin&lt;Box&lt;dyn Future&lt;Output = Result&lt;Response, std::convert::Infallible&gt;&gt;&gt;&gt; {
        let future = async move {
            // 仮の処理
            Ok(next.run(req).await)
        };
        Box::pin(future)
    }
}

use axum::{

middleware::{self, Next},

Request, Response,

};

use std::future::Future;

use std::pin::Pin;

pub struct AuthMiddleware;

impl<B> middleware::Middleware for AuthMiddleware {

fn call(&self, req: Request<B>, next: Next<B>) -> Pin<Box<dyn Future<Output = Result<Response, std::convert::Infallible>>>> {

let future = async move {

// 仮の処理

Ok(next.run(req).await)

};

Box::pin(future)

}

リクエスト処理フローの設計

ミドルウェアがリクエストを受ける
認証処理（例: JWTトークンの検証）
成功時：次のハンドラーに処理を引き渡す
失敗時：認証失敗レスポンスを返却

このフローにより、セキュリティとパフォーマンスの両立が可能になります。

JWTトークン検証ロジックの実装例

JWT（JSON Web Token）は、ユーザー認証に広く利用される形式です。AxumでJWTを扱うにはjsonwebtokenライブラリが便利です。

Claims型の定義

以下のようにClaims構造体を定義します。

use jsonwebtoken::{decode, Validation};
use serde::Deserialize;

#[derive(Deserialize)]
struct Claims {
    sub: String,
    exp: usize,
}

use jsonwebtoken::{decode, Validation};

use serde::Deserialize;

#[derive(Deserialize)]

struct Claims {

sub: String,

exp: usize,

}

セキュリティ設定の定義

まずはハッシュアルゴリズムとシークレットキーを定義します。

use jsonwebtoken::{Algorithm, Validation};

const JWT_SECRET: &amp;[u8] = b&quot;your-secret-key&quot;;
const ALGORITHM: Algorithm = Algorithm::HS256;

fn get_validation() -&gt; Validation {
    Validation::new(ALGORITHM)
}

use jsonwebtoken::{Algorithm, Validation};

const JWT_SECRET: &[u8] = b"your-secret-key";

const ALGORITHM: Algorithm = Algorithm::HS256;

fn get_validation() -> Validation {

Validation::new(ALGORITHM)

}

トークン解析処理のステップ

リクエストヘッダからAuthorizationフィールドを取得
Bearerで始まる場合、トークン部分を切り出す
jsonwebtokenライブラリを使って署名検証と有効期限チェックを行う

以下に簡略版の実装例を示します。

use jsonwebtoken::{decode, DecodingKey, Validation};

pub async fn verify_token(token: &amp;str) -&gt; Result&lt;(), String&gt; {
    let token_data = decode::&lt;Claims&gt;(
        token,
        &amp;DecodingKey::from_secret(JWT_SECRET),
        &amp;get_validation(),
    ).map_err(|e| e.to_string())?;

    // 有効期限のチェックはトークンに含まれる`exp`フィールドで自動的に行われる
    Ok(())
}

use jsonwebtoken::{decode, DecodingKey, Validation};

pub async fn verify_token(token: &str) -> Result<(), String> {

let token_data = decode::<Claims>(

token,

&DecodingKey::from_secret(JWT_SECRET),

&get_validation(),

).map_err(|e| e.to_string())?;

// 有効期限のチェックはトークンに含まれる`exp`フィールドで自動的に行われる

Ok(())

}

ミドルウェアとルーターの連携方法

Axumでは、Router::layer()メソッドを使ってミドルウェアを適用できます。特定のエンドポイントにのみ適用するには、ネスト構造や属性フィルタリングを活用します。

Router::layer()の使用例

以下のコードで認証ミドルウェアを全体に適用します。

use axum::{routing::get, Router};

async fn user_route() -&gt; String {
    &quot;Protected Resource&quot;.to_string()
}

#[tokio::main]
async fn main() {
    let app = Router::new()
        .route(&quot;/user&quot;, get(user_route))
        .layer(AuthMiddleware);

    axum::Server::bind(&amp;&quot;0.0.0.0:3000&quot;.parse().unwrap())
        .serve(app.into_make_service())
        .await
        .unwrap();
}

use axum::{routing::get, Router};

async fn user_route() -> String {

"Protected Resource".to_string()

}

#[tokio::main]

async fn main() {

let app = Router::new()

.route("/user", get(user_route))

.layer(AuthMiddleware);

axum::Server::bind(&"0.0.0.0:3000".parse().unwrap())

.serve(app.into_make_service())

.await

.unwrap();

}

認証対象ルートの指定方法

特定のエンドポイントにのみミドルウェアを適用するには、Router::route()でネストします。

let protected_router = Router::new()
    .route(&quot;/user&quot;, get(user_route))
    .layer(AuthMiddleware);

let app = Router::new()
    .nest(&quot;/api&quot;, protected_router)
    .route(&quot;/&quot;, get(index));

let protected_router = Router::new()

.route("/user", get(user_route))

.layer(AuthMiddleware);

let app = Router::new()

.nest("/api", protected_router)

.route("/", get(index));

エラーハンドリングのベストプラクティス

認証ミドルウェアでは、エラー発生時の処理が重要です。Result型を適切に扱い、ユーザーにわかりやすいステータスコードを返却する必要があります。

Result型の扱い方

Axumのハンドラ関数ではResult型を使用します。成功時はOk(Response)、失敗時はErr(Status)で応答します。

use axum::response::{IntoResponse, Response};
use std::convert::Infallible;

pub async fn auth_middleware(req: Request&lt;B&gt;) -&gt; Result&lt;Response, Infallible&gt; {
    // 認証処理
    if let Err(e) = verify_token(...) {
        return Ok(axum::http::StatusCode::UNAUTHORIZED.into_response());
    }
    Ok(next.run(req).await)
}

use axum::response::{IntoResponse, Response};

use std::convert::Infallible;

pub async fn auth_middleware(req: Request<B>) -> Result<Response, Infallible> {

// 認証処理

if let Err(e) = verify_token(...) {

return Ok(axum::http::StatusCode::UNAUTHORIZED.into_response());

}

Ok(next.run(req).await)

}

ステータスコードの振り分け戦略

エラー種別	ステータスコード	説明
認証失敗	`401`	トークンが無効または期限切れ
プレミアム機能	`403`	アクセス権限がない
不明なエラー	`500`	内部サーバーエラー