デモに関する注意: ログインエンドポイントは適応型PoWチャレンジによって保護されています。失敗を繰り返すと、proof-of-workの難易度が段階的に上がります。キャッシュバック型のレート制限は実装・テスト済みですが、現在ライブデモでは有効化されていません。app.tsのcreateCacheClientを切り替えると有効化できます。

これは、Cloudflare Workers向けにスクラッチから構築した認証リファレンス実装です。PBKDF2パスワードハッシュ、JWTデュアルトークンセッション、定数時間比較、スライディング有効期限、そして削除可能なオブザーバビリティプラグインを、Hono、Turso（オプションのValkey/Redisキャッシュ付き）、および厳格なTypeScriptで結線しています。

すべての設計判断は標準規格に遡ることができます。認証情報はNIST SP 800-63B、鍵導出はNIST SP 800-132、検証はOWASP ASVS、JWTのベストプラクティスはRFC 8725です。

製品をリリースしますか？ 代わりに**Better Auth**を使用してください。OAuth、パスキー、MFA、レート制限などを、活発なプラグインエコシステムとともにすぐに利用できます。このリポジトリは、認証がどのように機能するかを教えるためのものであり、本番ライブラリの代替ではありません。

なぜこのリポジトリか

• ドキュメントだけでなくコードを読む — すべてのセキュリティ特性（タイミングセーフな拒否、セッション連動型の失効、アルゴリズム固定）は説明されるだけでなく、実装されテストされています
• 全体にわたるNIST + OWASP + RFC参照 — 各決定の背後にある理由を学べます
• 630以上のテスト — 攻撃ベクトルスイート（トークン改ざん、アルゴリズム混同、Unicodeのエッジケース）を含む
• オブザーバビリティプラグイン — 構造化監査ログ、適応型PoWチャレンジ、エージェント認証付きops API、WebSocketイベントストリーミング — コア認証を変更せずにHonoミドルウェア経由で組み込めます
• エッジ向けに構築 — Web Crypto APIを備えたCloudflare Workers上で動作し、Node.js依存関係はありません
• Apache-2.0 — フォークして、教えて、学ぶことができます

このリポジトリの内容

本番運用に向けた次のステップ

このプロジェクトは、教育目的の範囲外にある機能を意図的に省略しています。このコードを本番運用に向けて拡張する場合（または本番認証システムに必要なものを評価する場合）、以下の表に優先度別にギャップをまとめています。

ほとんどの実プロジェクトでは、これらを自前で構築する代わりにBetter Authを使用してください。

重大 — 実際のユーザーを迎える前に追加

高優先度 — 本番での信頼性

中優先度 — 製品の拡大に合わせて

上級 — エンタープライズ / 高セキュリティ

これらはすべて、代わりにBetter Authを選ぶ優れた理由です。

リポジトリ構造

.
├── apps/
│   └── cloudflare-workers/    # Example Worker + Hono routes
├── packages/
│   ├── core/                  # Auth services, middleware, crypto utilities
│   ├── infrastructure/        # DB client + utilities
│   ├── observability/         # Event emission, adaptive challenges, ops API (removable plugin)
│   ├── schemas/               # Zod schemas
│   └── types/                 # Shared TypeScript types
├── tools/
│   └── cli/                   # plctl — Go TUI for the /ops surface
└── docs/
    ├── adr/                   # Architecture Decision Records
    └── audits/                # Security audits

はじめに

git clone https://github.com/vhscom/private-landing.git
cd private-landing
bun install
bun run dev

これだけです。アカウントもAPIキーも.envファイルも不要です。開発サーバーはローカルSQLiteデータベースと生成されたシークレットで起動します。http://localhost:8788を開いてアカウントを登録し、認証フローを試してみてください。

Tursoアカウントをお持ちですか？ apps/cloudflare-workers/に.dev.varsファイルを置くと（.dev.vars.exampleを参照）、bun run devがリモートデータベースでwranglerを自動的に使用します。bun run dev:localを使用すると、いずれの場合もローカルサーバーを強制できます。

テストおよびデプロイの手順についてはCONTRIBUTING.mdを参照してください。

AIでの使用

このリポジトリには、AIアシスタントにコンテキストを提供するCLAUDE.mdファイルが含まれています。Claude Code、Cursor、または類似のAI搭載開発ツールを使用する場合:

1. AIはプロジェクトコンテキストとしてCLAUDE.mdを自動的に読み取ります
2. docs/adr/のアーキテクチャ決定記録（ADR）が設計上の選択を説明します
3. docs/audits/のセキュリティ監査がセキュリティ態勢を文書化します
4. テストが期待される動作とエッジケースを示します

コードベースは、明確なモジュール境界、包括的な型、説明的な命名により、AIが読み取りやすいように設計されています。

ライセンス

Apache-2.0