Serverlessしかなかったので、ブラウザに働いてもらいました

https://serverlesslt.connpass.com/event/397581/
ここで登壇したやつ

Transcript

1. Serverlessしかなかったので、ブラウザに働いても らいました PoWでランキングを守ってみた話 Serverless LT 1
2. 自己紹介 田中博悠 / tanahiro2010 三田学園高等学校 1年生 TypeScript / Ruby Web / CLI 個人開発 OSSに少し貢献 小説も書く 2
3. 皆さん 自分の謎のこだわりと 環境制限のせいで 暴走したこと、ありますか？ 3
4. 僕はあります ランキングを作りたかっただけなんです 4
5. 作ったもの 「なんでも問題集」 匿名で問題を投げるサイト 技術 採用 Frontend Next.js Database Neon(PostgreSQL) Hosting Vercel 全部サーバーレス 5
6. 機能は素朴 誰でも匿名で 問題を作って投げる場所 問題の作成 公開 解く ランキング 力を入れたのは、解く場所とランキング つまり今回の本題。 6
7. 問題 解かれた数ランキングを作りたい ぶっちゃけ、素直に増やすと死ぬ POST /solve 解いた扱い → while(true) fetch連打 → ランキング終了 数字が壊れる APIだけだと弱い 7
8. どうする？ ログイン？ CAPTCHA？ Turnstile？ Rate Limit？ どれも重い 8
9. サーバーレスの縛り 重い処理は無理 CPU時間が怖い DB直撃も怖い 課金も怖い でもログインは嫌 9
10. 現実はもっと泥 起動待ちに怯える 権限設定で詰む ログ追跡がつらい 課金グラフを見る 夜中に眉間が寄る 10
11. 結論 ブラウザに働かせる 11
12. 以前Discord Botで PoWを書いた記憶が蘇った。 PoWで殴る 12
13. 全体の流れ Browser お題を取る → PoW計算 nonce探し → Verify 結果を投げる → Server検証 一瞬で見る → ランキング更 新 通れば加算 13
14. Challenge取得 GET /api/works/:id/challenges 返すもの prefix token(JWT) 端末で難易度を変える PC スマホ 14
15. 検証 POST /api/works/:id/challenges/:challengeId 送信 nonce / token → サーバーで検証 条件だけ見る → ランキング更新 成功だけ反映 15
16. 完璧？ UA偽装 Bot突破 端末判定は雑 本気の攻撃は無理 でも、今回の狙いは 大量送信のコストを上げる ここだけ。 もちろん穴はある 16
17. PoWを書きたかった 実は…… これが理由の半分くらい。 個人開発だからこそ 「面白そう」 で突っ込めるのが最高。 17
18. サーバーレスだから 「できない」 ではなく どう実現する？ 18
19. ご清聴ありがとうございました GitHub・質問などぜひ 19