Passportを使ってUser Login機能を追加する（パスワードハッシュ編）

import crypto from "node:crypto";
import { promisify } from "node:util";

// PBKDF2 を コールバック関数ではなくPromise で使えるように変換
//　変換するための関数がpromisify
// Promise形式で扱えるようにすると await を使った簡単な書き方が可能になる
const pbkdf2Promise = promisify(crypto.pbkdf2);

export async function hashPassword(password: string) {
  // 1. ランダムな salt（16バイト）を作成
  const salt = crypto.randomBytes(16).toString("hex");
  // 2. パスワードをハッシュ化（PBKDF2 を使用）
  // note: iterationを 1000から 10000に変えるとより安全
  const hashBuffer = await pbkdf2Promise(password, salt, 1000, 64, "sha512");
  // 3. salt とハッシュを結合して返す
  const hash = hashBuffer.toString("hex");
  return `${salt}:${hash}`;
}

export async function verifyPassword(password: string, storedHash: string) {
  // 1. 保存されたデータ（salt とハッシュ）を分割
  const [storedSalt, storedHashValue] = storedHash.split(":");
  // 2. 入力されたパスワードを同じ方法でハッシュ化
  const hashBuffer = await pbkdf2Promise(
    password,
    storedSalt,
    1000,
    64,
    "sha512"
  );
  // 3. 計算したハッシュと保存されたハッシュを比較
  const computedHash = hashBuffer.toString("hex");
  // 単純に文字列として比較する方法で、セキュリティ的にはやや劣るが今回はこれで十分
  return computedHash === storedHashValue;
}

  // 3. 両方のハッシュを Uint8Array に変換して比較
  const computedHashBuffer = Buffer.from(hashBuffer.toString("hex"), "utf8");
  const storedHashBuffer = Buffer.from(storedHashValue, "utf8");

  // 4. タイミングセーフな比較を実行
  try {
    return crypto.timingSafeEqual(
      new Uint8Array(computedHashBuffer),
      new Uint8Array(storedHashBuffer)
    );
  } catch (error) {
    return false;
  }

import { db } from "../../db";
import nanoidGenerator from "../../lib/nanoidGenerator";
import { ChallengeAcceptedApiRequest, UserSignupApiRequest } from "../../types";
import { hashPassword } from "./auth";

export const handleUserSignup: ChallengeAcceptedApiRequest<
  never, // URL parameters
  { message: string }, // Response body
  UserSignupApiRequest // Request body
> = async function (req, res) {
  const { username, password } = req.body;
  res.setHeader("Content-Type", "application/json");

  if (!username || !password) {
    return res.status(400).json({
      message: "Username and password are required",
      error: "VALIDATION_ERROR",
    });
  }

  try {
    // Check if the username already exists
    const existingUser = await db.user.findUnique({
      where: { username },
    });

    if (existingUser) {
      return res.status(400).json({
        message: "Username unavailable",
        error: "USERNAME_TAKEN",
      });
    }
    // Create a new user in the database
    const hashedPassword = await hashPassword(password);
    await db.user.create({
      data: {
        id: nanoidGenerator("U-"),
        name: username,
        username,
        password: hashedPassword,
      },
    });

    return res.status(200).json({ message: "User registered successfully" });
  } catch (error) {
    return res.status(500).json({
      message: "Registration failed",
      error: "SERVER_ERROR",
    });
  }
};

export type ApiError = {
  error: string;
  message?: string;
};

export type ChallengeAcceptedApiRequest<
  P = undefined,
  ResBody = undefined,
  ReqBody = undefined
> = RequestHandler<P, ResBody | ApiError, ReqBody>;