JWT認証・RBAC・トークン失効をライブラリ5個なしで実装する方法【FastAPI vs Fitz比較】

「JWTでログイン機能を作ろう」と思ったら、気づいたら5個もライブラリを入れていた……なんてこと、ありませんか？😅

python-jose、passlib、Redis、自作RBAC……パズルみたいにライブラリを組み合わせていくのは、正直しんどいですよね。そんな課題にズバッと切り込む面白い比較記事が話題になっています。

Contents

🔐 本格的なAuth、実は「意外と部品が多い」
⚡ FastAPIでの典型的な実装イメージ
🆚 Fitzというアプローチが面白い理由
📝 まとめ

🔐 本格的なAuth、実は「意外と部品が多い」

security authentication / Photo by Pixabay via Pexels

「JWT認証」と一口に言っても、実際に本番で使えるレベルにするには、こんなピースが必要になります。

✅ パスワードハッシュ（Argon2id推奨。新規プロジェクトでbcryptはもう古い）
✅ JWTの署名と検証
✅ RBAC（ロールベースアクセス制御）：管理者・一般ユーザーの権限管理
✅ ログアウト時のトークン失効（ブラックリスト管理）

これをFastAPIで実装しようとすると、自然と python-jose + passlib + Redis + 自作RBACの組み合わせになりがちです。

⚡ FastAPIでの典型的な実装イメージ

ポイントをまとめるとこんな感じです👇

# FastAPI + python-jose + passlib の典型パターン
from fastapi import FastAPI, Depends, HTTPException, status
from jose import JWTError, jwt
from passlib.context import CryptContext
from datetime import datetime, timedelta

SECRET_KEY = "your-secret-key"
ALGORITHM = "HS256"

# パスワードハッシュ設定（Argon2idを推奨）
pwd_context = CryptContext(schemes=["argon2"], deprecated="auto")

# トークン失効用ブラックリスト（本番はRedisに替える）
blacklist: set[str] = set()

app = FastAPI()

def create_token(data: dict, expires_delta: timedelta = timedelta(minutes=30)):
    """JWTトークンを生成する"""
    payload = data.copy()
    payload["exp"] = datetime.utcnow() + expires_delta
    return jwt.encode(payload, SECRET_KEY, algorithm=ALGORITHM)

def verify_token(token: str):
    """トークンを検証 + ブラックリストチェック"""
    if token in blacklist:
        raise HTTPException(status_code=401, detail="トークンは無効化されています")
    try:
        payload = jwt.decode(token, SECRET_KEY, algorithms=[ALGORITHM])
        return payload
    except JWTError:
        raise HTTPException(status_code=401, detail="トークンが不正です")

def require_role(required_role: str):
    """RBACの簡易実装：ロールを確認するデコレータ的な依存関係"""
    def checker(payload: dict = Depends(verify_token)):
        if payload.get("role") != required_role:
            raise HTTPException(status_code=403, detail="権限がありません")
        return payload
    return checker

@app.get("/admin")
def admin_only(user=Depends(require_role("admin"))):
    return {"message": f"ようこそ管理者 {user['sub']} さん！"}

@app.post("/logout")
def logout(token: str):
    """トークンをブラックリストに追加してログアウト"""
    blacklist.add(token)
    return {"message": "ログアウトしました"}

ここが重要です📌