OAuth とは？

例えば写真印刷サービスがGoogleフォトにアクセスしたい場合、昔はGoogleのパスワードを印刷サービスに教える必要があった。OAuthなら「Googleフォトの閲覧だけ許可」というアクセストークンを渡すだけ。パスワードを教えなくていいし、権限も必要最小限にできるんだ

認証（Authentication）は「あなたは誰？」を確認すること。認可（Authorization）は「何をしていい？」を許可すること。OAuthは認可の仕組み。「Googleでログイン」で認証もしているように見えるけど、認証部分はOAuth上に構築されたOpenID Connect（OIDC）が担当しているんだよ

OAuthで発行される「一時的な通行証」だよ。有効期限があり、特定のスコープ（権限範囲）に限定される。期限切れにはリフレッシュトークンで新しいアクセストークンを取得する。トークンが漏洩しても被害を限定できるのがパスワード直接共有より安全な理由だね

①PKCE（Proof Key for Code Exchange）を使う（認可コード横取り攻撃対策）、②stateパラメータでCSRF対策、③リダイレクトURIを厳密に検証、④アクセストークンはフロントエンドに露出させない（BFFパターン推奨）。OAuthは仕様が複雑で実装ミスが脆弱性に直結するから、ライブラリを使うのが鉄則だよ