Java EE アプリケーションにログインを追加

Security API を使用して、Java EE 8 のウェブアプリケーションに Auth0 のログイン、ログアウト、ユーザープロファイルを追加します

AI を使って Auth0 を統合する

Claude Code、Cursor、GitHub Copilot などの AI コーディングアシスタントを使えば、agent skills を利用して数分で Auth0 の認証を自動的に追加できます。

インストール:

npx skills add auth0/agent-skills --skill auth0

次に、AI アシスタントに次のように依頼します:

Add Auth0 authentication to my Java EE app

AI アシスタントが、Auth0 アプリケーションの作成、資格情報の取得、Auth0 Java MVC Commons SDK 依存関係の追加、Java EE 8 Security API を使用した認証の設定、そしてログイン/ログアウト フローの実装まで自動的に行います。agent skills の完全なドキュメント →

前提条件:

• Java Development Kit (JDK) 11 以降
• Apache Maven 3.x
• Java EE 8 対応のアプリケーションサーバー (例: WildFly 14 以降、Payara 5 以降、または GlassFish 5 以降)
• Auth0 アカウント — 無料でサインアップ

​

はじめに

Auth0 を使うと、アプリケーションに認証をすばやく追加し、ユーザープロファイル情報にアクセスできます。このガイドでは、auth0-java-mvc-common SDK と Java EE 8 Security API を使用して、新規または既存の任意の Java EE アプリケーションに Auth0 を統合する方法を説明します。

1. 新しいプロジェクトを作成

   新しい Maven WAR プロジェクトを作成します:

   mvn archetype:generate \
     -DgroupId=com.auth0.example \
     -DartifactId=java-ee-auth0-app \
     -DarchetypeArtifactId=maven-archetype-webapp \
     -DinteractiveMode=false
   

   プロジェクトのディレクトリに移動します。

   cd java-ee-auth0-app
   

   Javaのソースディレクトリを作成します:

   mkdir -p src/main/java/com/auth0/example/security
   mkdir -p src/main/java/com/auth0/example/web
   mkdir -p src/main/webapp/WEB-INF/jsp
   
2. Auth0 SDK のインストール

   pom.xml の内容を以下に置き換えてください。

   pom.xml

   <project xmlns="http://maven.apache.org/POM/4.0.0"
            xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
            xsi:schemaLocation="http://maven.apache.org/POM/4.0.0
            http://maven.apache.org/maven-v4_0_0.xsd">
       <modelVersion>4.0.0</modelVersion>
       <groupId>com.auth0.example</groupId>
       <artifactId>java-ee-auth0-app</artifactId>
       <packaging>war</packaging>
       <version>1.0-SNAPSHOT</version>
   
       <properties>
           <maven.compiler.source>11</maven.compiler.source>
           <maven.compiler.target>11</maven.compiler.target>
           <project.build.sourceEncoding>UTF-8</project.build.sourceEncoding>
           <failOnMissingWebXml>false</failOnMissingWebXml>
           <version.wildfly>23.0.2.Final</version.wildfly>
       </properties>
   
       <dependencies>
           <dependency>
               <groupId>com.auth0</groupId>
               <artifactId>mvc-auth-commons</artifactId>
               <version>[1.0, 2.0)</version>
           </dependency>
           <dependency>
               <groupId>javax</groupId>
               <artifactId>javaee-api</artifactId>
               <version>8.0.1</version>
               <scope>provided</scope>
           </dependency>
           <dependency>
               <groupId>javax.security.enterprise</groupId>
               <artifactId>javax.security.enterprise-api</artifactId>
               <version>1.0</version>
               <scope>provided</scope>
           </dependency>
           <dependency>
               <groupId>com.fasterxml.jackson.core</groupId>
               <artifactId>jackson-databind</artifactId>
               <version>2.16.0</version>
           </dependency>
       </dependencies>
   
       <build>
           <finalName>java-ee-auth0-app</finalName>
           <plugins>
               <plugin>
                   <groupId>org.wildfly.plugins</groupId>
                   <artifactId>wildfly-maven-plugin</artifactId>
                   <version>4.2.0.Final</version>
                   <configuration>
                       <version>${version.wildfly}</version>
                       <javaOpts>
                           <javaOpt>-Djboss.http.port=8080</javaOpt>
                       </javaOpts>
                   </configuration>
               </plugin>
           </plugins>
       </build>
   </project>
   

   javaee-api と javax.security.enterprise-api の依存関係が provided になっているのは、Java EE 8 のアプリケーションサーバーが実行時にそれらの実装を提供するためです。

3. Auth0アプリケーションを設定する

   Auth0 Dashboard

   1. Auth0 Dashboardを開き、Applications > Applications > Create Application に移動します。
   2. アプリケーション名 (例: “My Java EE App”) を入力します。
   3. アプリケーションタイプとして 従来型Webアプリケーション を選択します。
   4. Create を選択します。
   5. Settings タブを開きます。
   6. Domain、Client ID、Client Secret の値を控えます。
   7. Application URIs までスクロールし、次のように設定します。
      • Allowed Callback URLs: http://localhost:8080/callback
      • Allowed Logout URLs: http://localhost:8080/
   8. Save Changes を選択します。

   ユーザーが希望するアイデンティティプロバイダーでログインできるように、アプリケーションの接続を設定してください。

4. 認証を設定する

   web.xml を更新して、Auth0の設定をJNDI環境エントリとして保存します。プレースホルダーの値は、Auth0のアプリケーション設定にある Domain、Client ID、Client Secret に置き換えてください。また、Java EE 8 Security APIが必要とするJASPICセキュリティドメインを設定する jboss-web.xml、JNDIから設定を読み込むCDI Beanの Auth0AuthenticationConfig.java、および AuthenticationController を構築するCDIプロデューサーの Auth0AuthenticationProvider.java を作成します。

   auth0.domain の値には https:// を含めないでください。指定するのはドメインとリージョンのみです。例: dev-abc123.us.auth0.com。

5. Implement Java EE Security

   Java EE 8 Security API では、HttpAuthenticationMechanism を使用して認証を処理します。いくつかのセキュリティインターフェースについて、カスタム実装を用意する必要があります。@AutoApplySession アノテーションを使うと、コンテナが認証済みユーザーのセッションを作成できるため、ユーザーは複数のリクエストにまたがってログイン状態を維持できます。

6. ログイン機能とログアウト機能を追加

   login、コールバック、logout 用のサーブレットを作成します。LoginServlet は Auth0 の認可 URL を組み立て、ユーザーをリダイレクトします。CallbackServlet は authentication 後のリダイレクトを処理します。Auth0AuthenticationMechanism がまずこの request をインターセプトして認可コードを token に交換するため、このサーブレットで必要なのはリダイレクトのみです。LogoutServlet はセッションをクリアし、Auth0 の logout endpoint にリダイレクトします。

7. ユーザーインターフェースを作成する

   ホームとプロファイルのビュー用にサーブレットとJSPページを作成します。HomeServletは認証済みのプリンシパルを確認し、リクエストにプロファイルのclaimsを設定します。ProfileServletはユーザーのプロファイルとJWTのclaimsを表示します。未認証の場合はloginにリダイレクトします。

8. アプリケーションを起動する

   WildFly Mavenプラグインを使用して、アプリケーションをビルドして実行します。

   mvn clean wildfly:run
   

   アプリケーションが起動し、待ち受けURLが表示されるはずです。

   INFO  [org.jboss.as] WFLYSRV0025: WildFly started
   

   ブラウザーで http://localhost:8080 を開きます。ナビゲーションバーの Login リンクをクリックします。Auth0のログインページにリダイレクトされます。認証後、ユーザー情報とJWTクレームが表示される プロファイルページ にリダイレクトされます。

   このサンプルはJSPを使用しており、WildFly アプリケーションサーバーでテストされています。別のJava EE 8互換コンテナーを使用している場合は、一部の手順を調整する必要がある場合があります。

チェックポイント

これで、http://localhost:8080 で Auth0 によって保護された Java EE アプリケーションが完全に動作するようになっているはずです。ユーザーはログインし、プロファイルを表示して、ログアウトできます。

---

​

高度な使い方

ユーザープロファイル情報にアクセスする

Auth0JwtPrincipal は、どのサーブレットでも request.getUserPrincipal() で取得できます。ProfileServlet では、デコード済みの ID トークン内のクレームにアクセスする方法を示しています。

Principal principal = request.getUserPrincipal();

if (principal instanceof Auth0JwtPrincipal) {
    Auth0JwtPrincipal auth0JwtPrincipal = (Auth0JwtPrincipal) principal;
    DecodedJWT idToken = auth0JwtPrincipal.getIdToken();

    String name = idToken.getClaim("name").asString();
    String email = idToken.getClaim("email").asString();
    String picture = idToken.getClaim("picture").asString();
    String sub = idToken.getSubject();
}

ID トークンでよく使用されるクレーム:

• name — ユーザーの表示名 (フルネーム)
• email — ユーザーのメールアドレス
• picture — ユーザーのプロフィール画像の URL
• sub — ユーザーの一意の識別子 (Auth0 ユーザー ID)

Login Parameters をカスタマイズする

LoginServlet で認可 URL を構築する際に、カスタムパラメーターを追加します。

src/main/java/com/auth0/example/web/LoginServlet.java

String authURL = authenticationController
        .buildAuthorizeUrl(request, response, callbackUrl)
        .withScope(config.getScope())
        .withAudience("https://your-api.example.com")
        .withParameter("screen_hint", "signup")
        .withParameter("ui_locales", "fr")
        .build();

特定の API 向けの access token をリクエストするには .withAudience() を使用します。Auth0 がサポートする追加の認可パラメーターを指定するには .withParameter() を使用します。

API 呼び出し用にトークンを保存する

API 呼び出しで生のトークンを利用できるようにするには、Auth0AuthenticationMechanism を変更してトークンをセッションに保存します。

src/main/java/com/auth0/example/security/Auth0AuthenticationMechanism.java

if (isCallbackRequest(httpServletRequest)) {
    try {
        Tokens tokens = authenticationController.handle(
                httpServletRequest, httpServletResponse);

        httpServletRequest.getSession().setAttribute(
                "accessToken", tokens.getAccessToken());

        Auth0JwtCredential auth0JwtCredential =
                new Auth0JwtCredential(tokens.getIdToken());
        CredentialValidationResult result =
                identityStoreHandler.validate(auth0JwtCredential);
        return httpMessageContext.notifyContainerAboutLogin(result);
    } catch (IdentityVerificationException e) {
        return httpMessageContext.responseUnauthorized();
    }
}

その後、保護された API を呼び出す際に access token を取得します。

String accessToken = (String) request.getSession().getAttribute("accessToken");
URL url = new URL("https://your-api.example.com/data");
HttpURLConnection conn = (HttpURLConnection) url.openConnection();
conn.setRequestProperty("Authorization", "Bearer " + accessToken);

組織にログインする

ログイン先を特定の Auth0 Organization に限定するには、AuthenticationController に organization ID または名前を設定します。

src/main/java/com/auth0/example/security/Auth0AuthenticationProvider.java

@Produces
public AuthenticationController authenticationController(Auth0AuthenticationConfig config) {
    JwkProvider jwkProvider = new JwkProviderBuilder(config.getDomain()).build();
    return AuthenticationController.newBuilder(
                    config.getDomain(), config.getClientId(), config.getClientSecret())
            .withJwkProvider(jwkProvider)
            .withOrganization("org_YOUR_ORG_ID")
            .build();
}

SDK は、ID トークン内の org_id または org_name クレームを自動的に検証し、設定された organization と一致していることを確認します。

---

​

追加リソース

Auth0 Java MVC SDK

ソースコードと Issue トラッカー

API リファレンス (JavaDoc)

詳細な API ドキュメント

コミュニティフォーラム

Auth0 Community でサポートを受ける

Java EE サンプルアプリ

GitHub 上の完全なサンプルアプリケーション

---

​

よくある問題

callback での state 不一致エラー

ログイン後に a0.invalid_state エラーが表示される場合、state Cookie が見つからないか、Auth0 から返された state と一致していません。

次の点を確認してください。

• Auth0 Dashboard の callback URL が、ポート番号とプロトコルを含め、アプリケーションが生成する URL と完全に一致していること。
• ブラウザーがサードパーティ Cookie をブロックしていないこと。
• リバースプロキシやミドルウェアによって、レスポンスから Set-Cookie ヘッダーが削除されていないこと。

Cookie ベースの state 保存を使用する、buildAuthorizeUrl と handle の両方の 3 引数版を使用していることを確認してください。

// 正しい例 — state に Cookie を使用
authenticationController.buildAuthorizeUrl(request, response, callbackUrl)
authenticationController.handle(httpServletRequest, httpServletResponse)

CDI Bean が検出されない

依存性注入の失敗や Bean が見つからないといったエラーが表示される場合は、次の点を確認してください。

• 使用しているアプリケーションサーバーが CDI 2.0 (Java EE 8 の一部) をサポートしていること
• すべてのセキュリティクラス (Auth0AuthenticationConfig、Auth0AuthenticationProvider、Auth0JwtIdentityStore、Auth0AuthenticationMechanism) に @ApplicationScoped アノテーションが付いていること
• src/main/webapp/WEB-INF/jboss-web.xml が存在し、jaspitest セキュリティドメインが設定されていること

src/main/webapp/WEB-INF/jboss-web.xml

<jboss-web>
    <security-domain>jaspitest</security-domain>
    <context-root>/</context-root>
</jboss-web>

jaspitest セキュリティドメインは、Java EE 8 Security API が依存する JASPIC (Java Authentication SPI for Containers) 連携を WildFly で有効にするために必要です。

アプリケーションサーバーの互換性

この Quickstart では javax 名前空間 (Java EE 8) を使用します。WildFly 27+ や Payara 6+ など、jakarta 名前空間 (Jakarta EE 9+) に移行したサーバーを使用している場合、コードはコンパイルも実行もできません。

Java EE 8 と互換性のあるサーバーを使用してください。

• WildFly 14～26
• Payara 5
• GlassFish 5
• Java EE 8 機能を備えた Open Liberty

---

​

サンプルアプリケーション

Auth0 と統合された Java EE のサンプルアプリケーションが GitHub で公開されています。

Java EE サンプルアプリケーション

ログイン、ログアウト、ユーザープロファイルなどの例が含まれています。

クローンして実行します:

git clone https://github.com/auth0-samples/auth0-java-ee-sample.git
cd auth0-java-ee-sample/01-Login

src/main/webapp/WEB-INF/web.xml の Auth0 の設定値を更新したら、次を実行します:

./mvnw clean wildfly:run

ブラウザーで http://localhost:8080 にアクセスし、Login をクリックしてテストします。

---