Post Login

post-loginトリガーは、サインアップ後の認証を含め、ユーザーがAuth0 テナント内のアプリケーションに対して正常に認証されたとき、およびが交換されたときに実行されます。

このフローのActionsはブロッキング (同期) であり、トリガーの処理の一部として実行されます。Actionが完了するまで、Auth0 パイプラインの残りの処理は実行されません。

参考資料

イベントオブジェクト: Auth0 経由でログインするユーザーに関するコンテキスト情報を提供します。
API オブジェクト: フローの動作を変更するためのメソッドを提供します。

一般的なユースケース

アクセス制御

post-login Action を使用すると、アプリケーションにアクセスしようとするユーザーのアクセスを拒否するカスタムロジックを実装できます。

/**
 * @param {Event} event - ユーザーとログイン時のコンテキストに関する詳細。
 * @param {PostLoginAPI} api - ログインの動作を変更するためのメソッドを提供するインターフェース。
 */
exports.onExecutePostLogin = async (event, api) => {
  if (event.user.email && event.user.email.endsWith("@example.com") && event.client.name === "My SPA") {
    api.access.deny(`Access to ${event.client.name} is not allowed.`);
  }
};

特定のアプリケーションへのアクセスを平日のみに制限する

特定のアプリケーションへのアクセスを平日のみに制限するには、次のActionを作成します。

/**
 * @param {Event} event - ユーザーに関する情報と、ログイン時のコンテキスト。
 * @param {PostLoginAPI} api - ログインの動作を変更するためのメソッドを提供するインターフェース。
 */
exports.onExecutePostLogin = async (event, api) => {
  if (event.client.name === "APP_NAME") {
    const d = new Date().getDay();

    if (d === 0 || d === 6) {
      api.access.deny("This app is only available during the week.");
    }
  }
};

API を呼び出すすべてのユーザーのアクセスを拒否する

API を呼び出すすべてのユーザーのアクセスを拒否する場合について考えてみましょう。そのためには、API の値に基づいてアクセスを拒否する必要があります。この値は、Dashboard > Applications > APIs にある API の API Audience フィールドで確認できます。これを行うには、次の Action を作成します。

/**
 * @param {Event} event - ログインするユーザーとそのコンテキストに関する詳細。
 * @param {PostLoginAPI} api - ログインの動作を変更するためのメソッドを提供するインターフェース。
 */
exports.onExecutePostLogin = async (event, api) => {
  // Actions では、API はリソースサーバーと呼ばれます。
  if (event.resource_server && event.resource_server.identifier === "http://todoapi2.api") {
    api.access.deny("end_users_not_allowed");
  }
};

ID トークンとアクセストークンにユーザーロールを追加する

Auth0 が発行するトークンにユーザーロールを追加するには、event.authorization オブジェクトと api.idToken.setCustomClaim および api.accessToken.setCustomClaim メソッドを使用します。

/**
 * @param {Event} event - ユーザーと、そのログイン時のコンテキストに関する詳細。
 * @param {PostLoginAPI} api - ログインの動作を変更するために使用できるメソッドを提供するインターフェース。
 */
exports.onExecutePostLogin = async (event, api) => {
  const namespace = 'https://my-app.example.com';
  if (event.authorization) {
    api.idToken.setCustomClaim(`${namespace}/roles`, event.authorization.roles);
    api.accessToken.setCustomClaim(`${namespace}/roles`, event.authorization.roles);
  }
};

カスタムクレームには使用できないタームがあり、URI 形式の名前空間付きクレームを使用することを強く推奨します。詳細については、カスタムクレームの作成を参照してください。
リクエスト元のアプリケーションに返されるは、トリガーの処理の最後に生成・署名されます。最終的に署名された JWT には、Action 内からアクセスできません。

ユーザープロファイルを拡張する

Auth0 では、ユーザープロファイルにメタデータを保存できます。ログイン時にユーザーのプロファイルに user_metadata または app_metadata を設定するには、api.user.setUserMetadata または api.user.setAppMetadata 関数を使用します。

/**
 * @param {Event} event - ユーザーと、ログイン時のコンテキストに関する詳細。
 * @param {PostLoginAPI} api - ログイン時の動作を変更するためのメソッドを提供するインターフェース。
 */
exports.onExecutePostLogin = async (event, api) => {
  api.user.setUserMetadata("favorite_color", "blue");
};

すべての post-login Actions の実行後、Actions はユーザープロファイルを1回の操作で更新します。この操作には「Write Users」のレート制限が適用されます。

カスタムMFAポリシーを適用する

post-login Action を使用すると、アプリケーションのニーズに応じて、ユーザーにを動的に要求できます。

/**
 * @param {Event} event - ユーザーおよびログインが行われるコンテキストに関する詳細情報。
 * @param {PostLoginAPI} api - ログインの動作を変更するメソッドを備えたインターフェース。
 */
exports.onExecutePostLogin = async (event, api) => {
  // 北米からログインするすべてのユーザーにMFAを要求する。
  if (event.request.geoip.continentCode === "NA") {
    api.multifactor.enable("any");
  };
};

ログイン時にMFAを有効にするには、MFAプロバイダーを設定する必要があります。詳しくは、多要素認証をご覧ください。

パスキーで手間を軽減する

post-login Action を使用すると、パスキーで認証したユーザーに対して MFA を動的にスキップし、手間を軽減できます。

/**
 * @param {Event} event - ユーザーとログイン時のコンテキストに関する詳細情報。
 * @param {PostLoginAPI} api - ログインの動作を変更するためのメソッドを提供するインターフェース。
 */
exports.onExecutePostLogin = async (event, api) => {
  // パスキーを使用して認証したかどうかを確認
  const skipMFA = event.authentication?.methods.some(
    (method) => method.name === "passkey"
  );

  // パスキーを使用した場合はMFAをスキップ
  if (skipMFA) {
    api.multifactor.enable("none");
  }
};

この接続では、パスキーとMFAを有効にする必要があります。詳しくは、パスキーおよび多要素認証をご覧ください。

ユーザーを外部サイトにリダイレクトする

Redirect Rulesと同様に、post-login Actionを使用してユーザーを外部サイトに誘導できます。完了後、ユーザーはAuth0にリダイレクトされ、ログインフローを続行できます。以下の例では、Redirect Actionを使用して、ユーザーに好きな色を入力するよう促します。

/**
 * @param {Event} event - ログインするユーザーと、そのコンテキストに関する詳細。
 * @param {PostLoginAPI} api - ログイン時の動作を変更するためのメソッドを提供するインターフェース。
 */
exports.onExecutePostLogin = async (event, api) => {
  // ユーザーがすでに好きな色を選択している場合は、リダイレクトを行いません。
  if (event.user.user_metadata.favorite_color) {
    return;
  }

  const token = api.redirect.encodeToken({
    secret: event.secrets.MY_SHARED_SECRET,
    payload: {
      email: event.user.email,
    },
  });

  // ユーザーを https://my-app.example.com にリダイレクトし、
  // `session_token` クエリ文字列パラメーターを付加します。
  api.redirect.sendUserTo("https://my-app.example.com", { 
    query: { session_token: token }
  });
};

/**
 * @param {Event} event - ログインするユーザーと、そのコンテキストに関する詳細。
 * @param {PostLoginAPI} api - ログイン時の動作を変更するためのメソッドを提供するインターフェース。
 */
exports.onContinuePostLogin = async (event, api) => {
  // /continue エンドポイントが呼び出されたら、署名付きトークンを復号し、
  // 好きな色をユーザーメタデータとして保存します。

  const payload = api.redirect.validateToken({
    secret: event.secrets.MY_SHARED_SECRET,
  });

  api.user.setUserMetadata("favorite_color", payload.favorite_color);
};

ユーザーがリダイレクトされている間、Actions パイプラインは中断されます。ユーザーが Auth0 のログインプロセスを続行すると、Actions パイプラインは中断された箇所から再開されます。リダイレクト前に実行された Actions は、再度実行されません。 Redirect Actions の詳細については、Actions を使用したリダイレクトを参照してください。

アクセストークンのスコープを変更する

api.transaction.addTargetScope() と removeTargetScope() を使用すると、認可を迂回せずにスコープを変更できます。変更内容は複数のアクションをまたいで累積され、event.transaction.target_scopes には現在のセットが即座に反映されます。Auth0 は、最終的なセットが該当するポリシーおよび同意の要件を満たしているかを確認します。

/**
 * @param {Event} event - ユーザーと、ユーザーがログインしている際のコンテキストに関する詳細。
 * @param {PostLoginAPI} api - ログインの動作を変更するためのメソッドを提供するインターフェース。
 */
exports.onExecutePostLogin = async (event, api) => {
  if (event?.resource_server?.identifier === 'https://example.com/api') {
    api.transaction.addTargetScope("read:reports");
  }
};

スコープの追加や削除が認可パイプラインの他の処理とどのように連動するかなど、詳しくはアクションでのスコープの処理をお読みください。

認可をバイパスしてスコープを強制的に追加する

api.accessToken.addScope() は、認可の完了後にアクセストークンへスコープを直接追加します。このメソッドは RBAC、アプリケーションのアクセスポリシー、同意をすべてバイパスし、ターゲットスコープも更新しません。意図的にバイパスする場合に限って使用し、その際は信頼できる入力と、想定どおりの API オーディエンスを使用してください。

/**
 * @param {Event} event - ユーザーと、ユーザーがログインしている際のコンテキストに関する詳細。
 * @param {PostLoginAPI} api - ログインの動作を変更するためのメソッドを提供するインターフェース。
 */
exports.onExecutePostLogin = async (event, api) => {
  if (event?.resource_server?.identifier === 'https://example.com/api') {
    api.accessToken.addScope("audit:reports");
  }
};

api.accessToken.addScope() は、strict なサードパーティアプリケーションではサポートされていません。このメソッドで強制的に追加したスコープは、ターゲットスコープを変更しても取り消せません。api.accessToken.removeScope() は、認可後にアクセストークンからスコープを削除します。この場合、ターゲットセットは変更されません。

特定のJA3/JA4フィンガープリントからのアクセスを拒否する

event.security_contextオブジェクトには、現在のトランザクションのJA3/JA4フィンガープリント値が含まれます。

/**
 * @param {Event} event - ユーザーに関する情報と、そのログイン時のコンテキスト。
 * @param {PostLoginAPI} api - ログインの動作を変更するためのメソッドを提供するインターフェース。
 */
exports.onExecutePostLogin = async (event, api) => {
  const clientJa4 = event?.security_context?.ja4;
  console.log('[ACTION]', {clientJa4});
  const badFingerprints = ['t13d1517h2_8daaf6152771_b6f405a00624','t13d1516h2_8daaf6152771_d8a2da3f94cd'];
  if (clientJa4 && badFingerprints.includes(clientJa4)){
    api.access.deny('suspicious_tls_fingerprint', 'Your TLS fingerprint has been flagged as suspicious');
  }
};

ブランドのカスタマイズ

コードをカスタマイズする

サードパーティによるカスタマイズ

参考資料

一般的なユースケース

アクセス制御

特定のアプリケーションへのアクセスを平日のみに制限する

API を呼び出すすべてのユーザーのアクセスを拒否する

ID トークンとアクセストークンにユーザーロールを追加する

ユーザープロファイルを拡張する

カスタムMFAポリシーを適用する

パスキーで手間を軽減する

ユーザーを外部サイトにリダイレクトする

アクセストークンのスコープを変更する

認可をバイパスしてスコープを強制的に追加する

特定のJA3/JA4フィンガープリントからのアクセスを拒否する

詳細情報

​参考資料

​一般的なユースケース

​アクセス制御

​特定のアプリケーションへのアクセスを平日のみに制限する

​API を呼び出すすべてのユーザーのアクセスを拒否する

​ID トークンとアクセストークンにユーザーロールを追加する

​ユーザープロファイルを拡張する

​カスタムMFAポリシーを適用する

​パスキーで手間を軽減する

​ユーザーを外部サイトにリダイレクトする

​アクセストークン の スコープ を変更する

​認可をバイパスしてスコープを強制的に追加する

​特定のJA3/JA4フィンガープリントからのアクセスを拒否する

​詳細情報

参考資料

一般的なユースケース

アクセス制御

特定のアプリケーションへのアクセスを平日のみに制限する

API を呼び出すすべてのユーザーのアクセスを拒否する

ID トークンとアクセストークンにユーザーロールを追加する

ユーザープロファイルを拡張する

カスタムMFAポリシーを適用する

パスキーで手間を軽減する

ユーザーを外部サイトにリダイレクトする

アクセストークンのスコープを変更する

認可をバイパスしてスコープを強制的に追加する

特定のJA3/JA4フィンガープリントからのアクセスを拒否する

詳細情報