idToken は Firebase Authentication によって発行される短期間有効なJWTベースの認証トークンです。セッションクッキーも同様にJWTベースのトークンですが、長期間のセッション管理を目的として提供されています。

import{ getApp, getApps, initializeApp}from'firebase/app'import{ getAuth}from'firebase/auth'// Firebaseの設定const firebaseConfig={  apiKey: process.env.NEXT_PUBLIC_FIREBASE_API_KEY,  authDomain: process.env.NEXT_PUBLIC_FIREBASE_AUTH_DOMAIN,  projectId: process.env.NEXT_PUBLIC_FIREBASE_PROJECT_ID,  storageBucket: process.env.NEXT_PUBLIC_FIREBASE_STORAGE_BUCKET,  messagingSenderId: process.env.NEXT_PUBLIC_FIREBASE_MESSAGING_SENDER_ID,  appId: process.env.NEXT_PUBLIC_FIREBASE_APP_ID,}// Firebase初期化const app=!getApps().length?initializeApp(firebaseConfig):getApp()const auth=getAuth(app)export{ auth}

import adminfrom'firebase-admin'import{ getAuth}from'firebase-admin/auth'import'server-only'// Firebase Adminの設定const adminConfig={  projectId: process.env.FIREBASE_PROJECT_ID,  clientEmail: process.env.FIREBASE_CLIENT_EMAIL,  privateKey: process.env.FIREBASE_PRIVATE_KEY?.replace(/\\n/g,'\n'),}// Firebase Adminの初期化const app=!admin.apps.length? admin.initializeApp({      credential: admin.credential.cert(adminConfig),}): admin.app()const adminAuth=getAuth(app)export{ adminAuth}

const{ signInWithGoogle, signInWithEmail, linkGoogle}=useAuth()

'use server'import{ cookies}from'next/headers'import{ adminAuth}from'../../lib/firebase/admin'import{ AsyncResult}from'../../types/result'constsetSessionCookie=async(sessionCookie:string, maxAge:number)=>{const cookieStore=awaitcookies()  cookieStore.set('session', sessionCookie,{    maxAge,    httpOnly:true,    secure:true,})}// サーバー側でのみ実行されるセッションCookie作成処理exportasyncfunctionactionsCreateSessionCookie(idToken:string): AsyncResult{try{const expiresIn=60*60*24*5*1000// 5日間有効const sessionCookie=await adminAuth.createSessionCookie(idToken,{ expiresIn})awaitsetSessionCookie(sessionCookie, expiresIn)return{ success:true}}catch(error){// eslint-disable-next-line no-console -- エラーログconsole.log('Session cookie creation failed:', error)return{ success:false, error:'セッションの作成に失敗しました'}}}

'use server'import{ cookies}from'next/headers'import{ AsyncResult}from'../../types/result'exportasyncfunctiondeleteSessionCookie(): AsyncResult{const cookieStore=awaitcookies()  cookieStore.delete('session')return{ success:true}}

import{ adminAuth}from'@/lib/firebase/admin'import{ NextResponse}from'next/server'exportasyncfunctionGET(request: Request){try{const session= request.headers.get('Cookie')?.split('session=')[1]?.split(';')[0]if(!session){return NextResponse.json({ isValid:false},{ status:401})}// 第二引数には必ずtrueを渡す。 そうしないと、無効なセッション ID でも認証情報を取得できてしまう。const decodedToken=await adminAuth.verifySessionCookie(session,true)const isAdmin=!!decodedToken.admin||falseif(!isAdmin){return NextResponse.json({ isValid:false},{ status:403})}return NextResponse.json({ isValid:true, user: decodedToken},{ status:200})}catch(error){// eslint-disable-next-line no-console -- エラーログconsole.log('Session verification failed:', error)return NextResponse.json({ isValid:false},{ status:401})}}

importtype{ NextRequest}from'next/server'import{ NextResponse}from'next/server'import{ env}from'./utils/env'exportasyncfunctionmiddleware(request: NextRequest){const session= request.cookies.get('session')?.valueconst isPublicPage= request.nextUrl.pathname==='/signin'const isPrivatePage=!isPublicPageconst isLoggedIn= session// 未ログインの場合、認証が必要なページなら `/signin` にリダイレクトif(!isLoggedIn&& isPrivatePage){return NextResponse.redirect(newURL('/signin', request.url))}// ログイン済みの場合、セッションクッキーの検証を行うif(isLoggedIn){// セッションの検証const response=awaitfetch(`${env.NEXT_PUBLIC_APP_URL}/api/auth/verify`,{      headers:{        Cookie:`session=${session}`,},})// セッションクッキーが無効なら `/signin` にリダイレクトif(!response.ok){const redirectResponse= NextResponse.redirect(newURL('/signin', request.url))      redirectResponse.cookies.delete('session')// セッション Cookie を削除return redirectResponse}// `/signin` にアクセスしているが、セッションクッキーが有効なら `/dashboard` にリダイレクトif(isPublicPage){return NextResponse.redirect(newURL('dashboard', request.url))}}return NextResponse.next()}// ミドルウェアを適用するパスを設定exportconst config={  matcher:['/((?!api|_next/static|_next/image|favicon.ico).*)'],}