セキュリティユーティリティ

import { encrypt } from '@blocklet/sdk/security';

const userApiKey = 'sk_live_verySecretValue12345';

// データベースに保存する前にデータを暗号化する
const encryptedApiKey = encrypt(userApiKey);

console.log(encryptedApiKey);
// 出力: 長い暗号化された文字列

import { decrypt } from '@blocklet/sdk/security';

// 'encryptedApiKey' がデータベースから取得されたと仮定します
const encryptedApiKey = 'U2FsdGVkX1...'; // 暗号化された文字列の例

const originalApiKey = decrypt(encryptedApiKey);

console.log(originalApiKey);
// 出力: sk_live_verySecretValue12345

import { signResponse } from '@blocklet/sdk/security';
import express from 'express';

const app = express();

app.get('/api/data', (req, res) => {
  const data = { userId: '123', permissions: ['read'] };
  // signResponse は署名、pk、およびその他のメタデータを追加します
  const signedPayload = signResponse(data);
  res.json(signedPayload);
});

import { verifyResponse } from '@blocklet/sdk/security';

async function fetchAndVerifyData() {
  const response = await fetch('/api/data');
  const signedPayload = await response.json();

  const isValid = verifyResponse(signedPayload);

  if (isValid) {
    console.log('署名は有効です。データ:', signedPayload.data);
  } else {
    console.error('署名の検証に失敗しました！');
  }
}

import { sign, verify } from '@blocklet/sdk/util/verify-sign';

// 署名されるデータペイロード
const data = { transactionId: 'xyz-789', amount: 50, currency: 'USD' };

// 1. Blocklet のウォレットを使用して署名を生成する
const signature = sign(data);
console.log('Signature:', signature);

// 2. 署名を検証する
// 検証には公開鍵が必要です。
const publicKey = process.env.BLOCKLET_APP_PK;
const isVerified = verify(data, signature, { appPk: publicKey });

console.log('Is Verified:', isVerified);
// 出力: Is Verified: true

import express from 'express';
import cookieParser from 'cookie-parser';
import { csrf } from '@blocklet/sdk/middlewares';

const app = express();

// csrf ミドルウェアが機能するには cookie-parser ミドルウェアが必要です
app.use(cookieParser());

// すべてのルートに csrf ミドルウェアを適用する
app.use(csrf());

app.post('/api/update-profile', (req, res) => {
  res.json({ message: 'Profile updated successfully!' });
});

// ... その他のルート
app.listen(3000);

import express from 'express';
import cookieParser from 'cookie-parser';
import session from 'express-session';
import { csrf } from '@blocklet/sdk/middlewares';
import { sign, verify, getCsrfSecret } from '@blocklet/sdk/util/csrf';

const app = express();

app.use(cookieParser());
app.use(session({ secret: 'custom-session-secret', resave: false, saveUninitialized: true }));

// カスタムトークン処理による高度な使用法
app.use(csrf({
  // トークンを生成して提供するカスタムロジック
  generateToken: (req, res) => {
    if (req.session.userId) {
      const token = sign(getCsrfSecret(), req.session.userId);
      // トークンをテンプレートエンジンで利用できるようにする
      res.locals.csrfToken = token;
    }
  },
  // カスタムヘッダーからトークンを検証するカスタムロジック
  verifyToken: (req) => {
    const token = req.headers['x-custom-csrf-token'];
    const userId = req.session.userId;

    if (!token || !userId) {
      throw new Error('CSRF token or user session not found.');
    }

    if (!verify(getCsrfSecret(), token, userId)) {
      throw new Error('Invalid CSRF token.');
    }
  }
}));

// カスタムトークンを使用してフォームをレンダリングするルート
app.get('/form', (req, res, next) => {
  // デモンストレーションのためにユーザーセッションをシミュレートする
  req.session.userId = `user_${Date.now()}`;

  // トークンを設定するには generateToken 関数を呼び出す必要があります
  // 実際のアプリでは、これはより広範なミドルウェアの一部になる可能性があります
  const generate = res.locals.generateToken;
  generate(req, res);

  res.send(`
    <h3>高度な CSRF の例</h3>
    <form id="myForm">
      <input type="text" name="data" value="some-data">
      <button type="submit">送信</button>
    </form>
    <script>
      const form = document.getElementById('myForm');
      form.addEventListener('submit', async (e) => {
        e.preventDefault();
        try {
          const response = await fetch('/submit', {
            method: 'POST',
            headers: {
              'Content-Type': 'application/json',
              'x-custom-csrf-token': '${res.locals.csrfToken}'
            },
            body: JSON.stringify({ data: 'some-data' })
          });
          const result = await response.text();
          alert('レスポンス: ' + result);
        } catch (err) {
          alert('エラー: ' + err.message);
        }
      });
    </script>
  `);
});

// 送信を処理するルート
app.post('/submit', (req, res) => {
  // ここまで到達した場合、カスタムの verifyToken ロジックは合格しています。
  res.send('フォームは正常に送信されました！');
});

// CSRF エラーをキャッチして表示するエラーハンドラー
app.use((err, req, res, next) => {
  if (err.message.includes('CSRF')) {
    res.status(403).send(err.message);
  } else {
    next(err);
  }
});

app.listen(3000);