ニュースのポイント
- 著者はChatGPTとCursorを使い、コードを直接書かずにTOTPベースの2要素認証OSGiモジュール「lfr-totp-auth」（Apache 2.0）を作成した。対象はLiferay 7.4 CE、2025.Q1以降など。
- パスワード検証後もユーザーは認証済みではなく、TOTP検証の後にセッションを作成する設計。秘密鍵とバックアップコード（5個、BCryptでハッシュ化）はExpandoフィールドに保存する。
- 著者は今後の課題として、レート制限・ブルートフォース対策、MFAイベントの監査、アカウント回復手順、2026.Q1への対応を挙げている。
編集部コメント
記事のコメント欄では、MFAはLiferay DXPのサブスクリプションに含まれる標準機能であり、独自開発より標準機能の利用が推奨されると指摘されています。認証まわりを自作する場合は、この点を踏まえて検討してください。
出典：liferay.dev（Eric Dariel、2026年9月12日）（この記事は出典をもとに編集部が要約・解説したものです。詳細は原文をご確認ください。）