OAuth とは？

例えば写真印刷アプリに、写真サービスの写真を読む権限だけを許可したい場面だよ。OAuthでは写真サービス側で利用者を確認し、許可した範囲にアクセスするためのトークンを発行する。印刷アプリへ写真サービスのパスワードを渡さずに連携できるんだ。

認証は「あなたは誰？」を確かめること、認可は「何をしていい？」を許可することだよ。OAuthは認可の仕組みで、アクセストークンだけを利用者の本人確認に使うものではない。ログイン連携には、OAuth 2.0を拡張して認証結果を伝えるOpenID Connectなどを使うんだ。

保護されたAPIへアクセスするための認証情報だよ。許可範囲や有効期間は発行元の設定による。リフレッシュトークンが発行される場合は、再びアクセストークンを取得できる。ただしBearerトークンは持っている人が使えるため、漏れれば許可範囲の操作をされるおそれがあるんだ。

認可コード方式ではPKCEを使い、リダイレクト先を正しく検証する。CSRF対策には対応を確かめたPKCEや、処理と結び付けて検証するstateなどを使うよ。トークンをURLやログへ漏らさず、通信・保管も保護する。信頼できるライブラリを使っても設定の確認は必要なんだ。