diff --git a/public/lobby.html b/public/lobby.html
index f67aa16..366142f 100644
--- a/public/lobby.html
+++ b/public/lobby.html
@@ -18,6 +18,7 @@
+
♠ ハンドレンジ学習
開催中のテーブル
diff --git a/server/auth.js b/server/auth.js
index d4cf145..1514ec9 100644
--- a/server/auth.js
+++ b/server/auth.js
@@ -25,11 +25,13 @@ function loadSecret() {
return secret;
}
-// 鍵を変えると既存の Cookie はすべて無効になる
-const AUTH_TOKEN = crypto
- .createHmac('sha256', loadSecret())
- .update('access:' + config.ACCESS_KEY)
- .digest('base64url');
+// Cookie の値はキーと役割から作る。キーを変えると既存の Cookie はすべて無効になる
+const SECRET = loadSecret();
+const tokenFor = (role, key) => crypto.createHmac('sha256', SECRET).update(role + ':' + key).digest('base64url');
+const TOKENS = {
+ member: tokenFor('access', config.ACCESS_KEY), // 以前と同じ値（既存の Cookie はそのまま有効）
+ admin: config.ADMIN_KEY ? tokenFor('admin', config.ADMIN_KEY) : null,
+};
function parseCookies(header) {
const out = {};
@@ -51,18 +53,31 @@ function safeEqual(a, b) {
return crypto.timingSafeEqual(ha, hb);
}
-function isAuthedCookieHeader(cookieHeader) {
+// 'admin' / 'member' / null
+function roleOf(cookieHeader) {
const value = parseCookies(cookieHeader)[COOKIE_NAME];
- return Boolean(value) && safeEqual(value, AUTH_TOKEN);
+ if (!value) return null;
+ // どちらも必ず比較する（どちらに一致したかを処理時間から推測させない）
+ const admin = TOKENS.admin ? safeEqual(value, TOKENS.admin) : false;
+ const member = safeEqual(value, TOKENS.member);
+ return admin ? 'admin' : member ? 'member' : null;
+}
+
+function isAuthedCookieHeader(cookieHeader) {
+ return roleOf(cookieHeader) !== null;
}
function isAuthed(req) {
return isAuthedCookieHeader(req.headers.cookie);
}
-function setAuthCookie(req, res) {
+function isAdmin(req) {
+ return roleOf(req.headers.cookie) === 'admin';
+}
+
+function setAuthCookie(req, res, role) {
const parts = [
- `${COOKIE_NAME}=${AUTH_TOKEN}`,
+ `${COOKIE_NAME}=${TOKENS[role]}`,
'Path=/',
`Max-Age=${COOKIE_MAX_AGE_SEC}`,
'HttpOnly',
@@ -163,7 +178,10 @@ function handleLogin(req, res) {
if (!/^\d{6}$/.test(input)) {
return res.status(400).json({ error: '6桁の数字を入力してください。' });
}
- if (!safeEqual(input, config.ACCESS_KEY)) {
+ // どちらも必ず比較する
+ const adminMatch = config.ADMIN_KEY ? safeEqual(input, config.ADMIN_KEY) : false;
+ const memberMatch = safeEqual(input, config.ACCESS_KEY);
+ if (!adminMatch && !memberMatch) {
w.count++;
global.count++;
console.warn(`[auth] 鍵の入力ミス from ${key} (${w.count}/${config.AUTH_MAX_FAILURES}, 全体 ${global.count}/${config.AUTH_GLOBAL_MAX_FAILURES})`);
@@ -174,15 +192,18 @@ function handleLogin(req, res) {
return res.status(401).json({ error: left > 0 ? `鍵が違います。（あと${left}回）` : '鍵が違います。' });
}
perClient.delete(key);
- console.log(`[auth] 入室 from ${key}`);
- setAuthCookie(req, res);
- res.json({ ok: true });
+ // 管理者がメンバー用のキーを入れ直しても管理者のまま
+ const role = adminMatch || isAdmin(req) ? 'admin' : 'member';
+ console.log(`[auth] 入室 from ${key}${role === 'admin' ? '（管理者）' : ''}`);
+ setAuthCookie(req, res, role);
+ res.json({ ok: true, admin: role === 'admin' });
}
// /key 以外のページ・API を保護する
function requireAuth(req, res, next) {
- if (isAuthed(req)) {
- if (req.method === 'GET' && !req.path.startsWith('/api/')) setAuthCookie(req, res);
+ const role = roleOf(req.headers.cookie);
+ if (role) {
+ if (req.method === 'GET' && !req.path.startsWith('/api/')) setAuthCookie(req, res, role);
return next();
}
if (req.path.startsWith('/api/')) return res.status(401).json({ error: 'unauthorized' });
@@ -190,6 +211,12 @@ function requireAuth(req, res, next) {
res.status(401).end();
}
+// 管理者専用。管理者以外にはページがあること自体を知らせない（404）
+function requireAdmin(req, res, next) {
+ if (isAdmin(req)) return next();
+ res.status(404).type('text/plain').send('Not Found');
+}
+
// 状態を変える API は同じサイトからのみ受け付ける
function requireSameOrigin(req, res, next) {
if (req.method === 'GET' || req.method === 'HEAD' || isSameOrigin(req.headers)) return next();
@@ -203,12 +230,14 @@ function safeNext(next) {
module.exports = {
isAuthed,
+ isAdmin,
isAuthedCookieHeader,
isSameOrigin,
isAllowedHost,
requireAllowedHost,
handleLogin,
requireAuth,
+ requireAdmin,
requireSameOrigin,
safeNext,
};
diff --git a/server/config.js b/server/config.js
index f0eef7e..40da189 100644
--- a/server/config.js
+++ b/server/config.js
@@ -30,6 +30,13 @@ if (!ACCESS_KEY || !/^\d{6}$/.test(ACCESS_KEY)) {
process.exit(1);
}
+// 管理者キー（任意）。入力すると管理者として入室でき、ハンドレンジ学習ページが見える
+const ADMIN_KEY = process.env.ADMIN_KEY || null;
+if (ADMIN_KEY && (!/^\d{6}$/.test(ADMIN_KEY) || ADMIN_KEY === ACCESS_KEY)) {
+ console.error('[config] ADMIN_KEY は ACCESS_KEY と異なる6桁の数字にしてください。');
+ process.exit(1);
+}
+
module.exports = {
PORT: Number(process.env.PORT) || 4671,
@@ -43,6 +50,7 @@ module.exports = {
// 参加キー（6桁の数字）。.env の ACCESS_KEY
ACCESS_KEY,
+ ADMIN_KEY,
// 1テーブルの最大着席数
MAX_SEATS: 9,
diff --git a/server/index.js b/server/index.js
index 8d5dd6d..05d244c 100644
--- a/server/index.js
+++ b/server/index.js
@@ -9,7 +9,9 @@ const auth = require('./auth');
const { TableManager } = require('./tables');
const PUBLIC = path.join(__dirname, '..', 'public');
-const page = (file) => (req, res) => res.sendFile(path.join(PUBLIC, file));
+// 管理者専用のファイル（public の外に置き、管理者の Cookie があるときだけ返す）
+const ADMIN = path.join(__dirname, '..', 'admin');
+const page = (file, dir = PUBLIC) => (req, res) => res.sendFile(path.join(dir, file));
const app = express();
app.set('trust proxy', 'loopback'); // nginx 等のリバースプロキシ越しでも req.ip / req.secure を正しく
@@ -70,7 +72,9 @@ app.use('/assets', express.static(path.join(PUBLIC, 'assets'), { index: false, d
app.get('/favicon.ico', (req, res) => res.sendFile(path.join(PUBLIC, 'assets', 'favicon.ico')));
app.get('/robots.txt', (req, res) => res.type('text/plain').send('User-agent: *\nDisallow: /\n'));
app.get('/key', (req, res) => {
- if (auth.isAuthed(req)) return res.redirect(auth.safeNext(req.query.next));
+ // 入室済みなら飛ばす。ただし /key?admin は管理者キーを入れるために開ける
+ const wantsAdmin = req.query.admin !== undefined && !auth.isAdmin(req);
+ if (auth.isAuthed(req) && !wantsAdmin) return res.redirect(auth.safeNext(req.query.next));
page('key.html')(req, res);
});
app.post('/api/auth', auth.handleLogin);
@@ -83,6 +87,20 @@ app.get('/', page('lobby.html'));
app.get('/create', page('create.html'));
app.get('/table/:id', page('table.html'));
+// ---------- 管理者専用: ハンドレンジ学習 ----------
+app.get('/range', auth.requireAdmin, page('range.html', ADMIN));
+app.use(
+ '/range/files',
+ auth.requireAdmin,
+ express.static(ADMIN, {
+ index: false,
+ dotfiles: 'deny',
+ // カード画像を毎回読み込まないよう、本人のブラウザにだけキャッシュさせる
+ setHeaders: (res) => res.setHeader('Cache-Control', 'private, max-age=86400'),
+ })
+);
+
+app.get('/api/me', (req, res) => res.json({ admin: auth.isAdmin(req) }));
app.get('/api/tables', (req, res) => res.json(tables.list()));
app.get('/api/tables/suggest-name', (req, res) => res.json({ name: tables.suggestName() }));