EcAuth ユーザー管理アーキテクチャ（B2C/B2B統合設計）

// 外部IdPからのcallback処理内
public async Task<IActionResult> ExternalCallback(string provider)
{
    var externalUser = await GetExternalUserInfo();

    // EcAuth内部でのユーザー情報生成・取得
    var ecAuthUser = await GetOrCreateUserAsync(new UserCreationRequest
    {
        ExternalProvider = provider,
        ExternalSubject = externalUser.Subject,
        EmailHash = HashEmail(externalUser.Email),
        EcAuthSubject = Guid.NewGuid().ToString() // 内部識別子
    });

    // authorization code生成
    var authCode = await GenerateAuthorizationCode(ecAuthUser.Subject);

    return Redirect($"{redirectUri}?code={authCode}&state={state}");
}

public class EcAuthUser
{
    public string Subject { get; set; } // EcAuth内部識別子（UUID）
    public string EmailHash { get; set; } // ハッシュ化メールアドレス
    public int OrganizationId { get; set; } // テナント識別
    public DateTimeOffset CreatedAt { get; set; }
    public DateTimeOffset UpdatedAt { get; set; }

    // Navigation properties
    public Organization Organization { get; set; }
    public ICollection<ExternalIdpMapping> ExternalIdpMappings { get; set; }
    public ICollection<AuthorizationCode> AuthorizationCodes { get; set; }
}

public class ExternalIdpMapping
{
    public int Id { get; set; }
    public string EcAuthSubject { get; set; }
    public string ExternalProvider { get; set; } // "google", "line", etc.
    public string ExternalSubject { get; set; } // 外部IdPのsubject
    public DateTimeOffset CreatedAt { get; set; }

    // Navigation property
    public EcAuthUser EcAuthUser { get; set; }
}

// EC-CUBE customerテーブルに追加カラム
ALTER TABLE dtb_customer ADD COLUMN ecauth_subject VARCHAR(255) UNIQUE;

public class B2BUser
{
    public int Id { get; set; }
    public string Subject { get; set; }           // UUID（EcAuth内部識別子）
    public string? ExternalId { get; set; }       // EC-CUBEのlogin_id等
    public string UserType { get; set; }          // "admin", "staff" 等
    public int OrganizationId { get; set; }       // マルチテナント
    public DateTimeOffset CreatedAt { get; set; }
    public DateTimeOffset UpdatedAt { get; set; }

    // Navigation properties
    public Organization Organization { get; set; }
    public ICollection<B2BPasskeyCredential> PasskeyCredentials { get; set; }
    public ICollection<B2BExternalIdpMapping> ExternalIdpMappings { get; set; } // 将来：企業SSO
}

public class B2BPasskeyCredential
{
    public int Id { get; set; }
    public string B2BSubject { get; set; }        // B2BUser.Subject
    public byte[] CredentialId { get; set; }      // WebAuthn credential ID
    public byte[] PublicKey { get; set; }         // COSE形式公開鍵
    public uint SignCount { get; set; }           // リプレイ攻撃防止カウンター
    public string? DeviceName { get; set; }       // "MacBook Pro", "iPhone" 等
    public Guid AaGuid { get; set; }              // Authenticator Attestation GUID
    public string[] Transports { get; set; }      // ["internal", "usb", "nfc", "ble"] 等
    public DateTimeOffset CreatedAt { get; set; }
    public DateTimeOffset? LastUsedAt { get; set; }

    // Navigation property
    public B2BUser B2BUser { get; set; }
}

public class WebAuthnChallenge
{
    public int Id { get; set; }
    public string Challenge { get; set; }         // Base64URL形式
    public string SessionId { get; set; }         // セッション識別子
    public string Type { get; set; }              // "registration" or "authentication"
    public string UserType { get; set; }          // "b2b" or "b2c"
    public string? Subject { get; set; }          // ユーザーSubject
                                                 // - UserType == "b2b": 登録・認証ともに必須（既存ユーザーへのパスキー追加）
                                                 // - UserType == "b2c" && Type == "authentication": 必須
                                                 // - UserType == "b2c" && Type == "registration": null許容（JITプロビジョニング）
    public string? RpId { get; set; }             // EC-CUBEサイトのドメイン
    public int ClientId { get; set; }             // クライアントID
    public DateTimeOffset ExpiresAt { get; set; } // 5分で期限切れ
    public DateTimeOffset CreatedAt { get; set; }
}

public class B2BExternalIdpMapping
{
    public int Id { get; set; }
    public string B2BSubject { get; set; }        // B2BUser.Subject
    public string Provider { get; set; }          // "azure-entra", "google-workspace", "okta"
    public string ExternalSubject { get; set; }   // 外部IdPのsubject
    public string? TenantId { get; set; }         // 企業テナントID
    public DateTimeOffset CreatedAt { get; set; }

    // Navigation property
    public B2BUser B2BUser { get; set; }
}

// EC-CUBE memberテーブルに追加カラム
ALTER TABLE dtb_member ADD COLUMN ecauth_subject VARCHAR(255) UNIQUE;

public class TokenService : ITokenService
{
    // JWTアクセストークン生成・メタデータDB保存
    public async Task<string> GenerateAccessTokenAsync(TokenRequest request)
    {
        var jti = Guid.NewGuid().ToString();
        var now = DateTime.UtcNow;
        var expiresAt = now.AddHours(1);

        // JWT を生成（RSA署名）
        string accessTokenJwt;
        using (var rsa = RSA.Create())
        {
            rsa.ImportRSAPrivateKey(Convert.FromBase64String(rsaKeyPair.PrivateKey), out _);
            var signingCredentials = new SigningCredentials(new RsaSecurityKey(rsa), SecurityAlgorithms.RsaSha256);

            var claims = new List<Claim>
            {
                new(JwtRegisteredClaimNames.Sub, subject),
                new("sub_type", subjectTypeString),
                new("org_id", request.Client.OrganizationId.Value.ToString()),
                new("client_id", request.Client.ClientId),
                new(JwtRegisteredClaimNames.Iss, GetIssuer()),
                new(JwtRegisteredClaimNames.Jti, jti)
            };

            var tokenDescriptor = new SecurityTokenDescriptor
            {
                Subject = new ClaimsIdentity(claims),
                Expires = expiresAt,
                SigningCredentials = signingCredentials
            };

            var tokenHandler = new JwtSecurityTokenHandler();
            accessTokenJwt = tokenHandler.WriteToken(tokenHandler.CreateToken(tokenDescriptor));
        }

        // メタデータをDBに保存（Token カラムには jti のみ）
        _context.AccessTokens.Add(new AccessToken
        {
            Token = jti,
            ExpiresAt = expiresAt,
            ClientId = request.Client.Id,
            Subject = subject,
            SubjectType = request.SubjectType,
            CreatedAt = now,
            Scopes = scopes
        });
        await _context.SaveChangesAsync();
        return accessTokenJwt;
    }

    // アクセストークン検証（6段階）
    public async Task<AccessTokenValidationResult> ValidateAccessTokenWithTypeAsync(string token)
    {
        // 1. JWT をデコードして client_id を取得
        // 2. client_id から Client を検索
        // 3. Client に紐づく RSA 公開鍵を取得
        // 4. JWT 署名検証 + Issuer 検証 + 有効期限チェック
        // 5. jti で失効チェック（IsRevoked フラグ）
        // 6. 必須クレーム（sub, sub_type, jti）の存在チェック
    }

    // アクセストークン無効化（論理削除）
    public async Task<bool> RevokeAccessTokenAsync(string token)
    {
        // JWT をデコードして jti を取得
        // jti で AccessToken レコードを検索
        // IsRevoked = true, RevokedAt = DateTime.UtcNow を設定
    }

    // Issuer をリクエストのホスト名から動的に決定
    private string GetIssuer()
    {
        var request = _httpContextAccessor.HttpContext?.Request;
        return $"{request.Scheme}://{request.Host}";
    }
}

public class AccessToken
{
    public int Id { get; set; }
    public string Token { get; set; }           // jti（JWT Token ID）
    public DateTime ExpiresAt { get; set; }
    public int ClientId { get; set; }
    public string Subject { get; set; }
    public SubjectType SubjectType { get; set; } // B2C=0, B2B=1, Account=2
    public DateTime CreatedAt { get; set; }
    public string? Scopes { get; set; }
    public bool IsRevoked { get; set; }          // 論理削除フラグ
    public DateTime? RevokedAt { get; set; }     // 失効日時
}

// EcAuthDbContext.OnModelCreating内
modelBuilder.Entity<EcAuthUser>()
    .HasQueryFilter(u => u.Organization != null &&
                        u.Organization.TenantName == _tenantService.TenantName);

modelBuilder.Entity<B2BUser>()
    .HasQueryFilter(u => u.Organization != null &&
                        u.Organization.TenantName == _tenantService.TenantName);