Actix WebでJWT認証を実装する方法 | セキュアAPI構築ガイド

2026年7月26日

もっとスキルを活かしたいエンジニアへ

スポンサードリンク

働き方から選べる

無料で使えて良質な案件の情報収集ができるサービス

エンジニアの世界では、「いつでも動ける状態を作っておけ」とよく言われます。
技術やポートフォリオがあっても、自分に合う案件情報を日常的に見れていないと、いざ動こうと思った時に比較や判断が難しくなってしまいます。
普段から案件情報が集まる環境を作っておくと、良い案件が出た時にすぐ動きやすくなりますよ。
筆者自身も、メガベンチャー勤務時代に年収1,500万円を超えた経験があります。振り返ると、技術だけでなく「どんな案件や働き方があるか」を日頃から見ていたことが、キャリアの選択肢を広げるきっかけになりました。
このブログを読んでくれた方に感謝を込めて、実際に使っている情報収集サービスを紹介します。

フルリモート・週3日・高単価、どんな条件も妥協したくないなら

フリーランスボードに無料会員登録する

利用者10万人以上。業界最大規模45万件の案件。AIマッチ機能や無料の相場情報が人気。

年収800万円以上のキャリアアップ・ハイクラス正社員を視野に入れているなら

Beyond Careerに無料相談する

内定獲得率90%以上。紹介先企業とは役員クラスのコネクションがある安心と信頼できるエージェント。

Contents

1 Actix Web API 認証実装方法：JWTによるセキュアな実装ガイド
2 Actix Webのセキュリティ設計概要
- 2.1 Actix Webにおける認証の基本原則
3 JWTトークンの生成・検証フロー
- 3.1 JSON Web Tokenの構造とセキュリティ
4 Middlewareによる認証処理の実装方法
- 4.1 JWT検証ロジックのカスタム実装
5 レートリミットとCORS設定のベストプラクティス
- 5.1 API呼び出し制限の実装方法
- 5.2 CORSポリシーのセキュアな設定
6 エラーハンドリングとステータスコード設計
- 6.1 認証失敗時の詳細なステータスコード

スポンサードリンク

Actix Web API 認証実装方法：JWTによるセキュアな実装ガイド

Actix WebでAPI認証を構築する際、JWT（JSON Web Token）は実用性と安全性の両立が求められる手法です。本記事では2023年の最新情報に基づき、Actix Webにおけるセキュアな認証フローを具体的に解説します。

Actix Webのセキュリティ設計概要

Actix Webは非同期処理を活かした高パフォーマンスなフレームワークですが、セキュリティ設計においても「最小権限原則」や「信頼された入力チェック」が基本です。特に認証が必要なシーンでは、JWTの軽量性と持続的な有効期限管理が選ばれる理由となります。

Actix Webにおける認証の基本原則

Actix Webでの認証設計は以下の3つの特徴を持ちます：

非同期処理との連携：JWT検証を非同期で行えるため、リクエスト遅延を最小限に抑えられる
ミドルウェアの柔軟性：FromRequestトレイトを拡張することでカスタム認証ロジックが可能
信頼できる外部ライブラリとの連携：jsonwebtokenなどのRust専用ライブラリが安全な実装を支援

基本原則として、ユーザーの識別情報をクレデンシャル（ID/パスワード）からトークンへ移行することが重要です。

JWTトークンの生成・検証フロー

JWTは「ヘッダ」「ペイロード」「署名」の3層で構成され、秘密鍵を用いた暗号化が基本です。Actix Webではjsonwebtokenライブラリを使用し、トークン発行と検証を実装します。

JSON Web Tokenの構造とセキュリティ

JWTの構造は以下の通りです：

項目	説明	セキュリティ対策
ヘッダ	アルゴリズム（HS256など）	`jsonwebtoken`に組み込まれた安全なアルゴリズムを選択
ペイロード	ユーザーIDや有効期限等	センシティブな情報は含めない
署名	トークンの整合性保証	秘密鍵で暗号化し、改ざん検出を実現

注意：jsonwebtokenでのアルゴリズム選定では、HS256（HMAC-SHA256）は推奨されない。セキュリティ強化のため、非対称鍵（RS256）を使用することを検討してください。

Middlewareによる認証処理の実装方法

Actix WebではFromRequestトレイトを実装することで、リクエストごとの認証チェックを共通化できます。以下はJWT検証ロジックのカスタムミドルウェア例です：

JWT検証ロジックのカスタム実装

use actix_web::{dev::ServiceRequest, Error};
use jsonwebtoken::{decode, Validation};
use std::fmt;

#[derive(Debug)]
struct AuthError;

impl fmt::Display for AuthError {
    fn fmt(&amp;self, f: &amp;mut fmt::Formatter&lt;'_&gt;) -&gt; fmt::Result {
        write!(f, &quot;認証失敗&quot;)
    }
}

impl actix_web::error::ResponseError for AuthError {
    fn status_code(&amp;self) -&gt; actix_web::http::StatusCode {
        actix_web::http::StatusCode::UNAUTHORIZED
    }

    fn error_response(&amp;self) -&gt; actix_web::HttpResponse&lt;actix_web::body::BoxBody&gt; {
        HttpResponse::Unauthorized().json(json!({&quot;error&quot;: &quot;認証に失敗しました&quot;}))
    }
}

pub async fn auth_middleware(req: ServiceRequest, next: actix_web::dev::ServiceRefWrap&lt;T&gt;) -&gt; Result&lt;actix_web::dev::ServiceResponse, Error&gt; {
    let token = req.headers().get(&quot;Authorization&quot;).and_then(|v| v.to_str().ok()).and_then(|s| s.strip_prefix(&quot;Bearer &quot;));

    if let Some(token) = token {
        // トークンの検証処理をここに記述
        match decode::&lt;Claims&gt;(token, &amp;secret_key, &amp;Validation::default()) {
            Ok(_) =&gt; Ok(next.call(req).await?),
            Err(e) =&gt; Err(AuthError.into()),
        }
    } else {
        Err(AuthError.into())
    }
}

use actix_web::{dev::ServiceRequest, Error};

use jsonwebtoken::{decode, Validation};

use std::fmt;

#[derive(Debug)]

struct AuthError;

impl fmt::Display for AuthError {

fn fmt(&self, f: &mut fmt::Formatter<'_>) -> fmt::Result {

write!(f, "認証失敗")

}

impl actix_web::error::ResponseError for AuthError {

fn status_code(&self) -> actix_web::http::StatusCode {

actix_web::http::StatusCode::UNAUTHORIZED

}

fn error_response(&self) -> actix_web::HttpResponse<actix_web::body::BoxBody> {

HttpResponse::Unauthorized().json(json!({"error": "認証に失敗しました"}))

}

pub async fn auth_middleware(req: ServiceRequest, next: actix_web::dev::ServiceRefWrap<T>) -> Result<actix_web::dev::ServiceResponse, Error> {

let token = req.headers().get("Authorization").and_then(|v| v.to_str().ok()).and_then(|s| s.strip_prefix("Bearer "));

if let Some(token) = token {

// トークンの検証処理をここに記述

match decode::<Claims>(token, &secret_key, &Validation::default()) {

Ok(_) => Ok(next.call(req).await?),

Err(e) => Err(AuthError.into()),

}

} else {

Err(AuthError.into())

}

このコードではjsonwebtoken::decodeを用いてトークンの検証を行い、失敗時は401ステータスでエラーレスポンスを返却します。

レートリミットとCORS設定のベストプラクティス

APIのセキュリティ強化には「レートリミット」と「CORS（クロスドメインリソース共有）ポリシー」が不可欠です。Actix Webでは以下の方法で実装できます：

API呼び出し制限の実装方法

レートリミットはactix-web::middleware::RateLimitを使用し、IPアドレスやユーザーIDごとにアクセス数を制限します。
例：1秒あたり最大50リクエストを許容する設定

.use(middleware::RateLimit::new(50, std::time::Duration::from_secs(1)))

1 2	.use(middleware::RateLimit::new(50, std::time::Duration::from_secs(1)))

CORSポリシーのセキュアな設定

CORSはcorsクレートで設定し、以下に注意が必要です：

Originヘッダを厳密に検証する（allowed_originsパラメータ）
Preflightリクエスト（OPTIONSメソッド）を適切に対応させる

let cors = Cors::new()
    .allowed_origin(&quot;https://yourdomain.com&quot;)
    .allowed_methods(vec![&quot;GET&quot;, &quot;POST&quot;])
    .max_age(3600)
    .finish();

let cors = Cors::new()

.allowed_origin("https://yourdomain.com")

.allowed_methods(vec!["GET", "POST"])

.max_age(3600)

.finish();

ブランド適合性を確保するため、allowed_originsの値は実際のドメインに置き換えてください。

エラーハンドリングとステータスコード設計

認証失敗時の適切なステータスコード選択が、ユーザー体験とAPIの信頼性に直結します。

認証失敗時の詳細なステータスコード

ステータス	記述例	使用シーン
401 Unauthorized	「認証が必要です」	トークンが無効または存在しない時
403 Forbidden	「権限がありません」	ユーザーがリソースにアクセス不可