イーサリアムでの認証

example.com wants you to sign in with your Ethereum account:
0xAb5801a7D398351b8bE11C439e05C5B3259aeC9B

I accept the Terms of Service: https://example.com/tos

URI: https://example.com/login
Version: 1
Chain ID: 1
Nonce: 32891757
Issued At: 2024-06-12T14:30:00Z

import { SiweMessage } from 'siwe'
import { BrowserProvider } from 'ethers'

async function signIn() {
  const provider = new BrowserProvider(window.ethereum)
  const signer = await provider.getSigner()
  const address = await signer.getAddress()

  // 1. バックエンドからナンスを取得する
  const { nonce } = await fetch('/api/auth/nonce').then(r => r.json())

  // 2. SIWEメッセージを作成して署名する
  const message = new SiweMessage({
    domain: window.location.host,
    address,
    statement: 'Sign in to My Dapp',
    uri: window.location.origin,
    version: '1',
    chainId: 1,
    nonce,
  })

  const signature = await signer.signMessage(message.prepareMessage())

  // 3. 検証のためにバックエンドに送信する
  await fetch('/api/auth/verify', {
    method: 'POST',
    headers: { 'Content-Type': 'application/json' },
    body: JSON.stringify({ message, signature }),
  })
}

import { SiweMessage, generateNonce } from 'siwe'

// ナンスを発行し、後で/verifyが確認できるようにセッションに保存する
app.get('/api/auth/nonce', (req, res) => {
  req.session.nonce = generateNonce()
  res.json({ nonce: req.session.nonce })
})

app.post('/api/auth/verify', async (req, res) => {
  try {
    const { message, signature } = req.body
    const siweMessage = new SiweMessage(message)

    const { success, data } = await siweMessage.verify({
      signature,
      nonce: req.session.nonce,
    })

    if (success) {
      // data.addressは検証済みのイーサリアムアドレス
      // ユーザーのセッションまたはJWTを作成する
      req.session.address = data.address
      res.json({ ok: true, address: data.address })
    }
  } catch {
    res.status(401).json({ error: 'Invalid signature' })
  }
})

import { verifyMessage } from 'ethers'

// ユーザーが署名したメッセージ
const message = `Sign in to My Dapp. Nonce: ${storedNonce}`

// 署名から署名者のアドレスを復元する
const recoveredAddress = verifyMessage(message, signature)

// 主張されたアドレスと比較する
if (recoveredAddress.toLowerCase() === claimedAddress.toLowerCase()) {
  // 認証成功
}