Serverless の状態漏えい：ユーザーデータをリクエストに限定

主な概念と用語

Execution environment reuse

実行環境の再利用：プラットフォームは後続の呼び出しに備えて runtime や isolate を維持する場合がありますが、いつでも破棄できます。

Module-level state

モジュールスコープ状態：handler の外で初期化された値。同じ runtime 内の呼び出し間で残る場合があるため、ユーザー固有データを保持してはいけません。

AsyncLocalStorage

AsyncLocalStorage：非同期実行コンテキスト内で store を伝播する Node.js API。コンテキストを追跡するもので、ユーザーを認証・認可する機能ではありません。

Cross-request data exposure

リクエスト間のデータ露出：再利用コンテキストで後続リクエストが前のデータを読む失敗。再利用だけでは漏えいの証明になりません。

データ露出の流れ

ソースコード：危険な例と安全な実装

// UNSAFE: request identity is mutable process-wide state.
import { NextResponse } from "next/server";

let cachedUserContext: { userId: string; role: string } | null = null;

export async function POST(req: Request) {
  const token = req.headers.get("authorization");

  if (token) {
    cachedUserContext = await decodeUser(token);
  }

  // If token is missing, stale state can still be used.
  return NextResponse.json({ actor: cachedUserContext?.userId });
}

// SAFE PATTERN: keep identity local and pass it to the service.
import { NextResponse } from "next/server";

export async function POST(req: Request) {
  const user = await authenticate(req);
  if (!user) {
    return NextResponse.json({ error: "Unauthorized" }, { status: 401 });
  }

  const account = await loadAccountForUser(user.id);
  return NextResponse.json({ actor: user.id, account });
}

// The service enforces ownership in its query:
async function loadAccountForUser(userId: string) {
  return db.account.findFirst({ where: { ownerId: userId } });
}

エンジニアリング強化チェックリスト

• 認証情報、ユーザー ID、tenant ID、リクエスト固有の可変データは handler または明示的なリクエストスコープ内に保持し、モジュールグローバル変数に保存しないでください。
• 認証済み ID はサービスやデータアクセス関数へ明示的な引数で渡してください。Node.js の AsyncLocalStorage.run() は暗黙の非同期コンテキストが必要な場合に限り使います。これはコンテキスト伝播であり、認可ではありません。
• DB クライアントの singleton をユーザー状態と混同しないでください。クライアント再利用は可能ですが、各クエリに認証済み user/tenant を渡し、条件で所有権を強制します。
• React cache() は React Server Components のドキュメントどおりリクエスト単位のメモ化にのみ使い、汎用のリクエスト間認証キャッシュとして使わないでください。
• 異なるユーザーと未認証のリクエストを交錯させる統合テストを追加し、各応答と DB 操作が対応する ID に紐づくことを確認してください。
• プラットフォームのライフサイクル文書を確認します。実行環境が再利用される前提でロジックをテストしつつ、どのリクエストがどのインスタンスに届くかは仮定しないでください。

参考資料

• AWS Lambda — 実行環境のライフサイクル
• AWS Lambda — Lambda 関数のベストプラクティス
• Cloudflare Workers — Workers の仕組み
• Node.js — 非同期コンテキストと AsyncLocalStorage
• React — cache() リファレンスとリクエスト単位の無効化