TOTP の認証失敗で 500 Internal Server Error が返ってくる

[nekochanfood]

💡 Summary

TOTP を使ったアカウント認証をするとき、誤ったワンタイムパスワードを入力すると 500 Internal Server Error が返ってくる

🥰 Expected Behavior

400 エラーかつワンタイムパスワードが違う旨のエラーが返ってくる（パスワードとペアの場合はどちらが間違っているか曇らせたほうがいいかもしれない）

🤬 Actual Behavior

500 Internal Server Error が返ってくる

📝 Steps to Reproduce

1. パスキー（セキュリティキー）を作ろうとする
2. パスワードを入力し、間違ったワンタイムパスワードを入力して次へ進む
3. 500 Internal Server Error が返ってくる

💻 Frontend Environment

* Model and OS of the device(s): Windows 11 25H2
* Browser: 148.0.7778.216 (Official Build) (64-bit) (cohort: 148.0.7778.216 Rollout) 
* Server URL: nekolobby.niri.la
* Misskey: 2026.5.4-kinel.2

🛰 Backend Environment (for server admin)

* Installation Method or Hosting Service:
* Misskey:
* Node:
* PostgreSQL:
* Redis:
* OS and Architecture:

Do you want to address this bug yourself?

• Yes, I will patch the bug myself and send a pull request

[dosubot]

コードを確認したところ、原因を特定できました。

UserAuthService.twoFactorAuthenticate() メソッドで TOTP 検証に失敗した際、ApiError ではなく素の Error('authentication failed') を throw しています [1]。ApiCallService は ApiError 以外の例外を 500 Internal Server Error として処理するため [2]、クライアント側の入力ミスであっても 500 が返されてしまいます。

修正としては、twoFactorAuthenticate() 内の throw new Error('authentication failed') を適切な ApiError（例えば ACCESS_DENIED など）に置き換えることで、400 系のレスポンスを返せるようになるはずです。

この問題はパスキー登録フロー (/api/i/2fa/register-key, /api/i/2fa/key-done) だけでなく、TOTP を検証する他のエンドポイント (/api/i/2fa/register, /api/i/2fa/done, /api/signin-flow) にも影響しています [3] [4] [5]。

To reply, just mention @dosu.

---

Docs are dead. Just use Dosu.

[nekochanfood]

単にTOTP用のエラーを作るか、認証系全般のINVALIDエラー (like INVALID_CREDENTIAL) を作り、パスワードを間違ったときのエラーもそれにしてしまう、つまり統合してしまおうか悩んでいます

前者をやるにしても認証系のエラーは統一して曖昧にしたほうがセキュリティ的には望ましいのではないかという気持ちがありますが、Issue で話している内容から大きくなってしまっているようにも感じます（TOTP のエラーがないという問題だったのに認証系全般の失敗エラーの統一をしようとしている）