SvelteKitでセッションをDB永続化する：有効期限・自動延長・クリーンアップ実装

generator client {
  provider = "prisma-client-js"
}
datasource db {
  provider = "sqlite"
  url      = env("DATABASE_URL")
}

model User {
  id             String    @id @default(cuid())
  email          String    @unique
  name           String
  hashedPassword String
  createdAt      DateTime  @default(now())
  updatedAt      DateTime  @updatedAt
  // User は複数の Session を持てる（1対多）
    sessions       Session[]
}

model Session {
  id        String   @id @default(cuid())
  userId    String                        // User への外部キー
  user      User     @relation(fields: [userId], references: [id], onDelete: Cascade)
  expiresAt DateTime                      // 有効期限
  createdAt DateTime @default(now())
}

$ npx prisma migrate dev --name add-session

✔ Generated Prisma Client (v6.x.x)

migrations/
  └─ 20240101000001_add_session/
       └─ migration.sql

import { db } from '$lib/server/db';

export type SessionUser = {
  id: string;
  name: string;
  email: string;
};

// セッションの有効期間：24時間
const SESSION_DURATION_MS = 1000 * 60 * 60 * 24;

// セッションを作成してIDを返す
export async function createSession(user: SessionUser): Promise<string> {
    const session = await db.session.create({
    data: {
      userId:    user.id,
            expiresAt: new Date(Date.now() + SESSION_DURATION_MS),
    },
    });
  return session.id;
}

// セッションIDからユーザー情報を取得。期限切れ・存在しなければ null
export async function getSession(sessionId: string): Promise<SessionUser | null> {
    const session = await db.session.findUnique({
    where: { id: sessionId },
    include: { user: true },   // User を JOIN して取得
    });

  // 存在しない場合
  if (!session) return null;

  // 有効期限チェック
    if (session.expiresAt < new Date()) {
      // 期限切れセッションをDBから削除
      await db.session.delete({ where: { id: sessionId } });
      return null;
    }

  // スライディングウィンドウ：アクティブなセッションの有効期限を延長
    await db.session.update({
    where: { id: sessionId },
        data:  { expiresAt: new Date(Date.now() + SESSION_DURATION_MS) },
    });

  return {
    id:    session.user.id,
    name:  session.user.name,
    email: session.user.email,
  };
}

// ログアウト：セッションをDBから削除
export async function deleteSession(sessionId: string): Promise<void> {
  await db.session.delete({
    where: { id: sessionId },
  }).catch(() => {}); // すでに削除済みでもエラーにしない
}

import type { Handle, HandleServerError, HandleFetch } from '@sveltejs/kit';
import { redirect } from '@sveltejs/kit';
import { getSession } from '$lib/server/session';

const PROTECTED_ROUTES = ['/mypage'];

export const handle: Handle = async ({ event, resolve }) => {
  const sessionId = event.cookies.get('session_id');

  if (sessionId) {
    // await が必要になった（DB アクセスが非同期）
        event.locals.user = await getSession(sessionId);

    // getSession が null を返した = 期限切れ → Cookie も削除する
        if (!event.locals.user) {
          event.cookies.delete('session_id', { path: '/' });
        }
  } else {
    event.locals.user = null;
  }

  const isProtected = PROTECTED_ROUTES.some(
    (r) => event.url.pathname.startsWith(r)
  );
  if (isProtected && !event.locals.user) {
    redirect(303, `/login?redirectTo=${event.url.pathname}`);
  }

  const response = await resolve(event);
  response.headers.set('X-Frame-Options', 'SAMEORIGIN');
  return response;
};

// handleError・handleFetch はシリーズBの実装をそのまま使用
export const handleError: HandleServerError = ({ error, event, status, message }) => {
  if (status !== 404) console.error(`[handleError] ${status} ${event.url.pathname}`, error);
  return { message: status === 404 ? 'ページが見つかりません' : message };
};

export const handleFetch: HandleFetch = ({ request, fetch, event }) => {
  const url = new URL(request.url);
  if (url.origin === event.url.origin && url.pathname.startsWith('/api/')) {
    const sessionId = event.cookies.get('session_id') ?? '';
    return fetch(new Request(request, {
      headers: { ...Object.fromEntries(request.headers), 'x-session-id': sessionId },
    }));
  }
  return fetch(request);
};

prisma/
 └─ schema.prisma UPDATE ← Session モデル追加

src/
 ├─ hooks.server.ts UPDATE ← await・期限切れ Cookie 削除
 └─ lib/server/
        └─ session.ts UPDATE ← Map → Prisma に完全置き換え

src/routes/api/cleanup-sessions/
                 └─ +server.ts NEW ← 期限切れセッション削除 API