Back end-for-Front end: ブラウザベースアプリに最も安全なアーキテクチャ
Backend-for-Frontend（BFF）アーキテクチャは、ブラウザベースのアプリケーションにおいてセキュリティを強化する設計パターンです。フロントエンドと直接やり取りする専用のバックエンドを設けることで、アクセストークンをブラウザに公開せずに保護し、クロスサイトスクリプティング（XSS）などの攻撃リスクを低減します。この記事では、BFFを採用するメリットとその実装方法について解説しています。
背景メモ
- **Backend-for-Frontend (BFF)** とは、フロントエンド（ブラウザやモバイルアプリ）ごとに専用のバックエンドを用意するアーキテクチャパターン。従来のSPA（シングルページアプリケーション）では、アクセストークンをブラウザのローカルストレージなどに保存するため、XSS攻撃で盗まれるリスクがあった。BFFではトークンをサーバー側のHTTPオンリークッキーで管理し、ブラウザから直接トークンにアクセスできないようにする。
- **OAuth 2.0** や **OpenID Connect (OIDC)** は、サードパーティの認証・認可を安全に行うための業界標準プロトコル。BFFパターンはこれらと組み合わせて、SPAでも安全な認証フロー（認可コードフロー＋PKCE）を実現する。
- **FusionAuth** はこの記事の公開元で、顧客向けID管理（CIAM）を提供する企業。認証・認可のベストプラクティスを解説する立場にある。
- この記事の主張は、「SPAのセキュリティ問題（トークンの漏洩、CSRF、リダイレクトベースの攻撃）はBFFでほぼ解決できる」というもの。ただしBFFを導入すると、サーバー管理やセッション維持の負荷が増えるため、トレードオフを理解した上で採用が検討される。