HTTPヘッダーとMIMEタイプ処理のためのNode.jsユーティリティパッケージ比較

Node.jsでWebアプリケーションを構築する際、HTTPヘッダーやMIMEタイプの扱いは意外と面倒です。手動で文字列を組み立てると、RFC違反やセキュリティ脆弱性（例：CRLFインジェクション）を引き起こすリスクがあります。content-disposition、content-type、http-errors、mime、mime-types、type-is は、こうした低レベルの処理を安全かつ正確に行うための専門的なユーティリティパッケージです。これらは互いに補完し合い、多くのWebフレームワーク（特にExpress）の内部で広く使われています。以下では、各パッケージの役割と使いどころを具体的なコードとともに解説します。

📥 ファイルダウンロードヘッダー: content-disposition

ファイルをダウンロードさせる際、Content-Dispositionヘッダーでファイル名を指定しますが、ユーザー入力（例：ファイル名）をそのまま使うと危険です。content-dispositionは、RFC 6266に準拠した安全なヘッダー生成を提供します。

// content-disposition
const contentDisposition = require('content-disposition');

// 危険なファイル名（改行文字を含む）も安全にエスケープ
const filename = 'report\n.txt';
const header = contentDisposition(filename);
// -> 'inline; filename="report_.txt"; filename*=UTF-8\'\'report%0A.txt'

res.setHeader('Content-Disposition', header);

手動でヘッダーを組み立てると、改行文字が含まれているとCRLFインジェクション攻撃の原因になります。このパッケージを使えば、そうしたリスクを回避できます。

🧾 MIMEタイプの解析と生成: content-type

Content-Typeヘッダーは、MIMEタイプとパラメータ（例：charset）で構成されます。content-typeは、これを正確にパース・再構築します。

// content-type
const contentType = require('content-type');

// ヘッダーをパース
const obj = contentType.parse('text/html; charset=utf-8');
// -> { type: 'text/html', parameters: { charset: 'utf-8' } }

// オブジェクトからヘッダーを再構築
const header = contentType.format(obj);
// -> 'text/html; charset=utf-8'

自分で正規表現で分割すると、引用符や特殊文字の処理を間違えやすいですが、このパッケージはRFC 7231に完全準拠しています。

❌ 標準化されたHTTPエラー: http-errors

HTTPステータスコードに対応したエラーオブジェクトを簡単に作成できます。Expressのエラーハンドリングと連携しやすい設計です。

// http-errors
const createError = require('http-errors');

// 404エラーを生成
const notFound = createError(404, 'Page not found');
// -> Errorオブジェクト（statusCode: 404, message: 'Page not found'）

// 500エラーを生成
const serverError = createError.InternalServerError('Database down');

// Expressのエラーハンドラで使用
app.use((err, req, res, next) => {
  res.status(err.status || 500).json({ error: err.message });
});

独自のエラークラスを定義する代わりに、このパッケージを使うことで、HTTP仕様に沿った一貫したエラーレスポンスを実装できます。

📁 拡張子とMIMEタイプの変換: mime

ファイル拡張子からMIMEタイプを取得したり、逆にMIMEタイプから拡張子を取得したりできます。

// mime
const mime = require('mime');

// 拡張子からMIMEタイプ
const type = mime.getType('file.txt');
// -> 'text/plain'

// MIMEタイプから拡張子
const ext = mime.getExtension('text/html');
// -> 'html'

静的ファイルサーバーを実装する際に、リクエストされたファイルの拡張子に基づいてContent-Typeを設定するのに便利です。

🔍 MIMEタイプのメタデータ取得: mime-types

MIMEタイプそのものに関する情報を取得するのに特化しています。拡張子操作は不要な場合に使います。

// mime-types
const mimeTypes = require('mime-types');

// MIMEタイプの標準charsetを取得
const charset = mimeTypes.charset('text/html');
// -> 'UTF-8'

// MIMEタイプがテキストベースか判定
const isText = mimeTypes.contentType('text/plain');
// -> 'text/plain; charset=utf-8'（charsetが追加される）

mimeパッケージと異なり、拡張子との双方向マッピングは提供しません。MIMEタイプの属性（例：charset）だけが必要なら、こちらの方が軽量です。

🔎 リクエストのMIMEタイプ検査: type-is

リクエストのContent-Typeヘッダーを検査し、特定のMIMEタイプに一致するかを判定します。ワイルドカードやサブタイプもサポート。

// type-is
const typeis = require('type-is');

// リクエストオブジェクト（headers['content-type']を持つ）を想定
const req = { headers: { 'content-type': 'application/json' } };

// JSONかどうかを判定
if (typeis.is(req, ['json', 'urlencoded'])) {
  // 処理
}

// ワイルドカードで判定
if (typeis.is(req, 'application/*')) {
  // application/以下のすべてにマッチ
}

APIエンドポイントで、受け付けるボディ形式をバリデーションするミドルウェアを書く際に重宝します。

🔄 連携パターン: 実際のユースケース

これらのパッケージは単体ではなく、組み合わせて使うことがよくあります。たとえば、ファイルアップロードAPIでは次のように連携します。

// ファイルアップロードAPIの例
const httpErrors = require('http-errors');
const typeis = require('type-is');
const mimeTypes = require('mime-types');

app.post('/upload', (req, res, next) => {
  // 1. リクエストのContent-Typeを検査
  if (!typeis.is(req, 'multipart/form-data')) {
    return next(httpErrors.BadRequest('Expected multipart/form-data'));
  }

  // ...ファイル処理...

  // 2. ダウンロード用のContent-Dispositionを生成
  const contentDisposition = require('content-disposition');
  res.setHeader('Content-Disposition', contentDisposition('uploaded-file.jpg'));

  // 3. Content-Typeを設定
  const contentType = require('content-type');
  res.setHeader('Content-Type', contentType.format({
    type: 'image/jpeg',
    parameters: {}
  }));

  res.send(fileBuffer);
});

このように、各パッケージが得意な領域をカバーし合うことで、堅牢でメンテナンスしやすいHTTP処理が実現できます。

⚠️ 注意点と避けるべきパターン

• mime vs mime-types: 拡張子操作が必要ならmime、MIMEタイプの属性だけならmime-typesを使いましょう。両方を同時に使う必要はほとんどありません。
• 手動ヘッダー構築: Content-DispositionやContent-Typeを文字列連結で組み立てるのは避けましょう。必ず専用パッケージを使ってください。
• エラー処理の一貫性: http-errorsを使えば、エラーオブジェクトの形式が統一され、ミドルウェアでの処理が簡単になります。

📊 まとめ: 各パッケージの主な用途

💡 最終的なアドバイス

これらのパッケージはどれも非常に軽量で、目的が明確に分かれています。プロジェクトでHTTP通信を扱うなら、それぞれの役割に応じて適切に使い分けることで、バグやセキュリティ問題を未然に防げます。特に、ユーザー入力が関わるヘッダー構築（例：ファイル名）では、必ずcontent-dispositionのような専用ライブラリを使うことを強く推奨します。手動実装は一見簡単ですが、長期的に見てメンテナンスコストとリスクが高くなります。