OAuth 2.0フロー とは？

①アプリがユーザーを認可サーバーにリダイレクト、②ユーザーがログインして権限を許可、③認可サーバーがアプリにリダイレクトして認可コードを渡す、④アプリがサーバーサイドで認可コードをアクセストークンに交換。認可コードは使い捨てで短命。トークン交換がサーバーサイドで行われるから安全なんだよ

Proof Key for Code Exchangeの略。SPAやモバイルアプリにはclient_secretを安全に保存できないから、代わりにランダムなcode_verifierとそのハッシュ（code_challenge）を使う。認可リクエスト時にcode_challengeを送り、トークン交換時にcode_verifierを送る。これで認可コードを横取りされても悪用できないんだよ

Webアプリ（サーバーサイドあり）は認可コードフロー、SPA・モバイルは認可コードフロー＋PKCE、サーバー間通信はクライアントクレデンシャルフロー、TVやIoTデバイスはデバイスコードフロー。インプリシットフローは脆弱性が見つかっているので使わないこと。迷ったら認可コード＋PKCEが安全だよ

アクセストークンはAPIアクセスに使う短命（数分〜数時間）のトークン。リフレッシュトークンは新しいアクセストークンを取得するための長命（数日〜数週間）のトークン。アクセストークンが期限切れになったらリフレッシュトークンで更新する。リフレッシュトークンは安全に保存して、漏洩したら即座に無効化するんだよ