Twitter 認証を実装した ASP.NET Core 3.1 Web アプリで、Twitter 認証時にキャンセルをしたら、アプリがクラッシュした件

背景

ASP.NET Core 3.1 による、C# で実装した自作 Web アプリでの話。

昨今の Web アプリ用フレームワークの例に漏れず、ASP.NET Core においても、いわゆる "Twitter アカウントでサインイン" といった外部認証を実装することは容易である。

例えば Twitter での認証の仕組みを組み込みたい場合は、下記公式ドキュメントなどを参考に実装すればよい。

上記公式ドキュメントを参照することでわかるとおり、他にも、Google アカウントや Microsoft アカウント、Facebook アカウントなどなど、様々な外部アカウントを使った認証が容易に組み込み可能だ。

実装例

実際、自分が開発しているとある Web アプリ (ソースコードは下記) でも、Twitter による認証を実装している。

実装についてポイントだけかいつまむと、まずは自作の Web アプリのソースコード中、DI 機構へのサービス登録を行なっている、Startup クラスの ConfigureServices() メソッド内にて、標準的な Cookie ベースの認証用のサービスに加えて、Twitter 認証のためのサービスを "AddTwitter()" 拡張メソッドで登録してやる。

このタイミングで、Twitter 側で作業を済ませておいた、コンシューマー API キーとシークレットを、Twitter 認証構成オプションに設定するよう実装しておく。

// Startup.cs

...

public void ConfigureServices(IServiceCollection services)

{

  ...

  services.AddAuthentication(...)

    .AddCookie(...)

    // Twitter アカウントでのサインイン機構を組み込み

    .AddTwitter(options =>

    {

      options.ConsumerKey = ...;

      options.ConsumerSecret = ...;

    });

    ...

続けて、HTTP 要求を処理するパイプライン中に、認証の処理を挿入するため、同じく Startup クラス内の Configure() メソッド内にて、"UseAuthentication()" 拡張メソッドをしかるべき順序で呼び出し・ミドルウェアの挿入を行なっておく。

// Startup.cs

public void Configure(IApplicationBuilder app, ...)

{

  ...

  app.UseAuthentication();

  ...

最後に、Twitter アカウントでの認証を開始するための MVC アクションや API エンドポイントを実装し、これを呼び出してやれば良い。

// 何かコントローラなど

...

[HttpGet("/auth/signin")]

public IActionResult SignIn()

{

  // 認証スキーマとして Twitter による外部認証を指定している

  return Challenge(TwitterDefaults.AuthenticationScheme);

}

詳細はかなり端折っているが、概ね上記のような実装にて、この Web アプリの ~/auth/sigin へ遷移すると、Twitter の認証画面が開き、Twitter アカウントによる認証ができるようになる。

実装の "手抜き" が発覚!

さて、そんな自作 Web アプリにおいて、ちょっと手抜きしていた点が発覚してしまった。

自作 Web アプリから認証を開始し、Twitter 側のページに遷移したあと、この Twitter の認証画面で「キャンセル」された場合を考慮していなかったのだ。

で、実際に Twitter の認証画面でのキャンセルを試してみたところ、あえなく、この自作 Web アプリは HTTP 500 Internal Server Error を吐いてしまった。

ローカル開発環境にて確認してみると、下記のような例外が発生していた。

System.Exception:

  An error was encountered while handling the remote login.

System.Exception:

  Access was denied by the resource owner or by the remote server.

 at Microsoft.AspNetCore.Authentication.RemoteAuthenticationHandler`1.HandleRequestAsync()

解決方法

では、外部認証先でのキャンセルの操作に対応するにはどうしたらよいのか?

某氏に教えてもらったところ、下記 Stackoverflow のスレッドに答えがあった。

すなわち、Twitter 認証のためのサービスを DI 機構に登録する際、そのオプション構成指定時に「Twitter による認証が失敗した」ときに呼び出されるコールバック関数を指定することができる。

具体的には、オプション引数の Events > OnRemoteFailure プロパティがそのコールバック関数となる。

というか、コールバック関数を指定してアプリケーション開発者が外部認証失敗時の処理を明示しないと、前述の例外発生となってしまうようだ。

さて、OnRemoteFailure で指定するコールバック関数、その引数には RemoteFailureContext オブジェクトが渡される。

このコンテキストオブジェクトには、Exception 型の Failure プロパティが公開されている。

これを参照することで、同じ「認証失敗」であっても、キャンセルなのかもっと他の要因で失敗したのか、処理の場合分けができそうだ (※自分は未確認)。

また、このコールバック関数の引数 = RemoteFailureContext オブジェクトには Response プロパティが提供されている。

この Repsonse オブジェクトを使うことで、外部認証失敗時における、お好みの HTTP 応答を返すことができる。

自分のアプリの場合は、何があろうと雑に、しれっとアプリのトップページに戻すこととした。

具体的には下記のとおり実装してみた。

...

.AddTwitter(options =>

{

  ...

  options.Events.OnRemoteFailure = context =>

  {

    var appUrl = $"{context.Request.Scheme}://{context.Request.Host}/";

    context.Response.Redirect(appUrl);

    context.HandleResponse();

    return Task.CompletedTask;

  };

})

...

まとめ

以上で Twitter の認証画面でキャンセルされた場合でも、HTTP 500 ページになることなく、それなりの動作 (今回の例では単にアプリケーションのトップページに戻るだけ) に収めることができた。

自分は Twitter アカウントによるサインインでしか確認していないが、おそらくは他の外部認証の場合でも、この Events.OnRemoteFailure による外部認証失敗時のハンドリングの仕組みは同じことだろう。