Better Auth + D1 で認証を組む — CVE-2025-61928 の教訓とともに

# ローカル `wrangler dev` 用の環境変数 / secrets。
# このファイルを `.dev.vars` にコピーして、値を埋めてください。
# `.dev.vars` は .gitignore で除外済み前提です。

# Cookie 署名に使う強いランダム文字列。
# 生成例: `openssl rand -base64 48` / `bunx nanoid 64`
BETTER_AUTH_SECRET=

# Better Auth がコールバック URL を組み立てる際の baseURL。
# dev: http://localhost:8787
# prod: https://auth.example.com
BETTER_AUTH_URL=http://localhost:8787

# Google OAuth の Client ID / Secret。
# https://console.cloud.google.com/apis/credentials で作成。
GOOGLE_CLIENT_ID=
GOOGLE_CLIENT_SECRET=

# r43lab-auth-minimal

Cloudflare Workers + D1 上で動く、Better Auth の最小構成。
[記事本文](https://r43lab.com/blog/better-auth-d1-cve-2025-61928) と対になるコピペ用リポジトリです。

## Quick start

```bash
bun install

# D1 を作成 → ID を wrangler.jsonc に貼る
npx wrangler d1 create auth

# Better Auth CLI でスキーマ生成
npx @better-auth/cli generate --output src/schema.ts

# drizzle-kit でマイグレーション生成 → local / remote に適用
npx drizzle-kit generate
npx wrangler d1 migrations apply auth --local
npx wrangler d1 migrations apply auth --remote

# Secrets 登録
wrangler secret put BETTER_AUTH_SECRET        # 任意の強いランダム文字列
wrangler secret put BETTER_AUTH_URL           # 例: https://auth.example.com
wrangler secret put GOOGLE_CLIENT_ID
wrangler secret put GOOGLE_CLIENT_SECRET

# ローカル dev は .dev.vars に同じキーを書く (.dev.vars.example 参照)
cp .dev.vars.example .dev.vars
bun run dev
```

## 重要: CVE-2025-61928

`better-auth` の API Keys プラグイン (`apiKey()`) には、**1.3.25 以下で未認証攻撃者が任意ユーザーの API キーを生成できる脆弱性 (CVSS v4.0 9.3)** があります。本テンプレートは `1.3.26` 以上(本稿執筆時点の最新は `1.6.6`)を要求し、API Keys プラグインは **無効の状態で配置** しています。

参考:
- [GHSA-99h5-pjcv-gr6v](https://github.com/better-auth/better-auth/security/advisories/GHSA-99h5-pjcv-gr6v)
- [CVE-2025-61928 (NVD)](https://nvd.nist.gov/vuln/detail/CVE-2025-61928)

## 依存バージョンについて

`package.json` は **記事執筆時点 (2026-04) のスナップショット** です。認証ライブラリは特にアップデート追従が重要なので、clone 後に必ず走らせてください。

```bash
bun outdated
bun update
```

## Stack

Hono v4 · Better Auth v1.6 · Drizzle ORM · Wrangler v4 · Cloudflare D1

import { defineConfig } from "drizzle-kit";

export default defineConfig({
  schema: "./src/schema.ts",
  out: "./migrations",
  dialect: "sqlite",
});

{
  "name": "r43lab-auth-minimal",
  "private": true,
  "type": "module",
  "scripts": {
    "dev": "wrangler dev",
    "deploy": "wrangler deploy",
    "auth:gen": "better-auth generate --output src/schema.ts",
    "db:gen": "drizzle-kit generate",
    "db:local": "wrangler d1 migrations apply auth --local",
    "db:remote": "wrangler d1 migrations apply auth --remote",
    "tail": "wrangler tail --format=pretty"
  },
  "dependencies": {
    "better-auth": "^1.6.6",
    "drizzle-orm": "^0.45.2",
    "hono": "^4.12.14"
  },
  "devDependencies": {
    "@better-auth/cli": "^1.4.21",
    "@cloudflare/workers-types": "^4.20260420.1",
    "drizzle-kit": "^0.31.10",
    "typescript": "^6.0.3",
    "wrangler": "^4.84.0"
  }
}

import { betterAuth } from "better-auth";
import { drizzleAdapter } from "better-auth/adapters/drizzle";
import { drizzle } from "drizzle-orm/d1";
import * as schema from "./schema";

// Cloudflare Workers では env がリクエスト時にしか取れないため、
// auth インスタンスはリクエスト毎に生成する。
// Drizzle / Better Auth の生成コストは軽量で、Workers ランタイム上で問題にならない。
export type AuthEnv = {
  DB: D1Database;
  BETTER_AUTH_URL: string;
  BETTER_AUTH_SECRET: string;
  GOOGLE_CLIENT_ID: string;
  GOOGLE_CLIENT_SECRET: string;
};

export const createAuth = (env: AuthEnv) =>
  betterAuth({
    database: drizzleAdapter(drizzle(env.DB, { schema }), {
      provider: "sqlite",
      schema,
    }),
    baseURL: env.BETTER_AUTH_URL,
    secret: env.BETTER_AUTH_SECRET,
    emailAndPassword: {
      enabled: true,
      // email verification を有効にする場合は、メール送信 (Resend / MailChannels) との
      // 連携をここで指定する。本テンプレートでは off のまま。
      requireEmailVerification: false,
    },
    socialProviders: {
      google: {
        clientId: env.GOOGLE_CLIENT_ID,
        clientSecret: env.GOOGLE_CLIENT_SECRET,
      },
    },

    // ── API Keys プラグインについて ──
    // CVE-2025-61928 は API Keys プラグイン (apiKey()) を有効化した better-auth < 1.3.26 の
    // 未認証権限昇格脆弱性 (CVSS v4.0 9.3)。有効化する場合は必ず better-auth 1.3.26+
    // (推奨: 最新の 1.6 系) を使い、セッション検証がリクエストボディに引きずられない
    // ことを https://github.com/better-auth/better-auth/security/advisories/GHSA-99h5-pjcv-gr6v
    // を参照しつつ確認する。
    // plugins: [apiKey()], // ← opt-in: 必要になってから有効化
  });

import { Hono } from "hono";
import { HTTPException } from "hono/http-exception";
import { createAuth, type AuthEnv } from "./auth";

type Bindings = AuthEnv;
type Variables = { userId: string };

const app = new Hono<{ Bindings: Bindings; Variables: Variables }>();

// Better Auth が提供する全ルート (sign-in / sign-up / callback / sign-out など) を委譲
app.all("/api/auth/*", (c) => createAuth(c.env).handler(c.req.raw));

// 保護ルート用のセッション検証ミドルウェア
app.use("/api/me", async (c, next) => {
  const session = await createAuth(c.env).api.getSession({
    headers: c.req.raw.headers,
  });
  if (!session) throw new HTTPException(401, { message: "unauthorized" });
  c.set("userId", session.user.id);
  await next();
});

app.get("/api/me", (c) => c.json({ userId: c.get("userId") }));

app.get("/", (c) => c.text("r43lab-auth-minimal is running\n"));

app.onError((err, c) => {
  if (err instanceof HTTPException) return err.getResponse();
  console.error(err);
  return c.json({ code: "internal", message: "unexpected error" }, 500);
});

export default app;

// NOTE: このファイルは `npx @better-auth/cli generate --output src/schema.ts` の
// 出力を想定したサンプルです。実際の生成結果は Better Auth のバージョンにより
// 差分が出るため、本番環境では必ず自分のプロジェクトで CLI を実行してください。

import { sqliteTable, text, integer } from "drizzle-orm/sqlite-core";

export const user = sqliteTable("user", {
  id: text("id").primaryKey(),
  name: text("name").notNull(),
  email: text("email").notNull().unique(),
  emailVerified: integer("email_verified", { mode: "boolean" }).notNull(),
  image: text("image"),
  createdAt: integer("created_at", { mode: "timestamp" }).notNull(),
  updatedAt: integer("updated_at", { mode: "timestamp" }).notNull(),
});

export const session = sqliteTable("session", {
  id: text("id").primaryKey(),
  userId: text("user_id")
    .notNull()
    .references(() => user.id, { onDelete: "cascade" }),
  expiresAt: integer("expires_at", { mode: "timestamp" }).notNull(),
  token: text("token").notNull().unique(),
  createdAt: integer("created_at", { mode: "timestamp" }).notNull(),
  updatedAt: integer("updated_at", { mode: "timestamp" }).notNull(),
  ipAddress: text("ip_address"),
  userAgent: text("user_agent"),
});

export const account = sqliteTable("account", {
  id: text("id").primaryKey(),
  userId: text("user_id")
    .notNull()
    .references(() => user.id, { onDelete: "cascade" }),
  accountId: text("account_id").notNull(),
  providerId: text("provider_id").notNull(),
  accessToken: text("access_token"),
  refreshToken: text("refresh_token"),
  idToken: text("id_token"),
  accessTokenExpiresAt: integer("access_token_expires_at", { mode: "timestamp" }),
  refreshTokenExpiresAt: integer("refresh_token_expires_at", { mode: "timestamp" }),
  scope: text("scope"),
  password: text("password"),
  createdAt: integer("created_at", { mode: "timestamp" }).notNull(),
  updatedAt: integer("updated_at", { mode: "timestamp" }).notNull(),
});

export const verification = sqliteTable("verification", {
  id: text("id").primaryKey(),
  identifier: text("identifier").notNull(),
  value: text("value").notNull(),
  expiresAt: integer("expires_at", { mode: "timestamp" }).notNull(),
  createdAt: integer("created_at", { mode: "timestamp" }),
  updatedAt: integer("updated_at", { mode: "timestamp" }),
});

{
  "$schema": "node_modules/wrangler/config-schema.json",
  "name": "r43lab-auth-minimal",
  "main": "src/index.ts",
  "compatibility_date": "2026-04-01",

  "d1_databases": [
    {
      "binding": "DB",
      "database_name": "auth",
      "database_id": "<paste id from `wrangler d1 create auth`>",
      "migrations_dir": "migrations"
    }
  ],

  // BETTER_AUTH_SECRET / BETTER_AUTH_URL / GOOGLE_CLIENT_ID / GOOGLE_CLIENT_SECRET
  // は Secrets として `wrangler secret put <KEY>` で登録する。
  // vars に書くと公開設定としてコードに残るので絶対に使わない。

  "observability": {
    "enabled": true
  }
}