Hono + Inertia + React の認証完全ガイド

認証の実装は、毎回プロジェクトでハマる領域です。2026年時点での実用的な選択肢は3つに整理できます。

- Better Auth: TypeScript製のフルスタック認証ライブラリ。OAuth・メール認証・MFA・組織機能などが揃う。Hono アダプタもある
- Lucia: 軽量・最小限の認証「フレームワーク」。セッション管理の薄いラッパーで、自由度が高い
- DIY セッション: 自分でクッキー＋セッションテーブルを書く方式。学習用としても本番用としても、要件が小さいなら現実的

「全部自前」と「Auth0 などフルマネージド」の中間に、こうしたOSSの選択肢が成熟したのが2026年の特徴です。

業務系・社内ツール・中小SaaSでは Better Auth か Lucia、簡素なものは DIY、エンタープライズ要件で SLA が必要なら Auth0 / Clerk などのフルマネージドを使う、という大枠で考えると整理しやすいです。

結論: SPA であっても、HttpOnly Cookie + サーバ側セッションを第一選択にするのが2026年の主流です。理由：

- XSS 経由でトークンが盗まれにくい（HttpOnly 属性）
- サーバ側で即時失効できる（JWT は本来失効しづらい）
- Inertia は内部的に通常のリクエストと同じ Cookie を使うので、相性が良い

JWT は「サーバを完全にステートレスに保ちたい」「マルチサービス間でトークン共有したい」など特定要件で使うのが妥当です。

ログイン中ユーザー情報は、Inertia の共有プロパティで全ページに渡しておくのが定石です。

1. Hono ミドルウェアでクッキーを見てセッションを解決
2. ユーザー情報（id、name、email、role など最小限）を共有プロパティ auth.user に載せる
3. React 側のどのページでも usePage().props.auth.user で参照可能

これで「ナビゲーションに表示するユーザー名」「権限ガード」「分析イベントへのユーザーID付与」が全画面で統一できます。

ロール（admin / editor / viewer 等）は次の2層でガードします：

- サーバ側ガード: Hono のミドルウェアで c.req.path とユーザーの role を突き合わせ、権限不足なら 403 を返す。これが最終防衛線
- クライアント側ガード: React 側で auth.user.role に応じてメニュー表示・ボタン非表示を制御。これは UX のため

クライアント側だけのガードは「見えないけど叩ける」状態を残してしまうため、必ずサーバ側でも止めます。

Better Auth は OAuth プロバイダの設定がシンプルです。Google / GitHub / Microsoft などはほぼ設定だけで動きます。LINE ログインは日本特有の要件として頻出ですが、汎用 OAuth プロバイダ設定として組み込めます（Better Auth の generic OAuth プラグイン or Lucia の OAuth ヘルパーを利用）。

コールバック URL の設定、prompt=consent の指定、初回サインイン時の userテーブル作成（onSignUp フック）など、ハマりやすいポイントは押さえておきましょう。

パスワードリセットは「メール送信 + 一意トークン + 有効期限 + 一回限り」の4点セットで実装します。Better Auth はテンプレートとして実装が含まれているケースが多く、自前でやる場合も同パターンを踏襲します。

組織型のSaaS / 社内ツールでは、招待リンク（管理者がメールアドレス入力 → トークン付きURLを送付 → 受信者がパスワード設定）も頻出。共有プロパティでロール状態を渡す設計と組み合わせれば、UI実装はかなり省力化できます。

- HTTPS のみ運用: Cookie に Secure 属性を付ける、HSTS を有効にする
- CSRF 対策: Inertia リクエストにCSRFトークンを付ける
- Rate limiting: ログイン・パスワードリセット・招待エンドポイントに必ず
- Audit log: ログイン履歴・権限変更・重要操作を残す
- MFA: 業務向けには TOTP の導入を推奨（Better Auth はサポートあり）
- セッション失効: パスワード変更時・ロール変更時に既存セッションを無効化

次回は最終回 デプロイ完全ガイド で、Cloudflare Workers / Vercel / Bun サーバ / Node の選び方とCI/CDをまとめます。シリーズ全体は Part 1 を参照ください。

Q1: Auth0 や Clerk を使うべきですか？
A: SLA・サポート・各種コンプライアンス要件が厳しい案件では選択肢になります。中小SaaSや業務ツールでは OSS 系（Better Auth / Lucia）で十分なケースが多いです。

Q2: Better Auth と Lucia、どちらを選ぶ？
A: 機能網羅と組織機能が必要なら Better Auth、最小限のセッション管理を自分で組みたいなら Lucia。

Q3: SSO（SAML）対応は？
A: Better Auth に SSO プラグインがあり、社内向けの Microsoft Entra ID / Okta との連携が比較的楽。要件が深い場合はフルマネージドが現実解です。

Q4: パスキー（WebAuthn）は使えますか？
A: Better Auth がパスキーをサポートしています。2026年は本格導入のタイミング。

- Better Auth 公式（better-auth.com）
- Lucia 公式（lucia-auth.com）
- Inertia.js — Authentication
- OWASP Session Management Cheat Sheet
- WebAuthn — MDN