標準 OAuth 2.0 フロー

クライアントは、ブラウザを通じて一連のクエリ パラメータを含む認可リクエストを送信し、認可サーバー上の認可エンドポイントにリダイレクトします。 サンプルリクエストは次のようになります

Standard OAuth 2.0 Request:
GET <authorization-endpoint>?
       response_type=code
       &client_id=<client_id>
       &redirect_uri=<callback_url>
       &scope=openid&state=<security_token>



• OAuth 2.0 エンドポイント
1. 認可エンドポイント: 認可エンドポイントは、リソース所有者がログインし、クライアント アプリケーションに認可を与える認可サーバー上のエンドポイントです。


Request:
GET https://authorization-server.com/oauth/authorize
?client_id=<client_id>
&response_type=<code>
&state=<state>
&redirect_uri=<redirect_uri>
&scope=<scope>

Response:
HTTP/1.1 302 Found
Location: https://custom-app.com/redirect?code=g0ZGZmNjVmOWI&state=dkZmYxMzE2

2. トークンエンドポイント: トークン エンドポイントは、クライアント アプリケーションがアクセス トークンの認可コード、クライアント ID、およびクライアント シークレットを交換する認可サーバー上のエンドポイントです。


Request:
GET https://authorization-server.com/oauth/token
grant_type=<grant_type>
&code=<code>
&redirect_uri=<redirect_uri>

Response:
HTTP/1.1 200 OK
Content-Type: application/json
 
{
  "access_token":"MTQ0NjJkZmQ5OTM2NDE1ZTZjNGZmZjI3",
  "token_type":"bearer",
  "expires_in":3600,
  "refresh_token":"IwOGYzYTlmM2YxOTQ5MGE3YmNmMDFkNTVk",
  "scope":"create"
}

3. ユーザー情報エンドポイント: Userinfo エンドポイントは、認証されたエンド ユーザーに関するクレームを返します。


Request:
GET https://authorization-server.com/oauth/v1/userinfo
Header:
Authorization : Bearer < access_token / id_token >

Response:
HTTP/1.1 200 OK
Content-Type: application/json

{
 "sub"         : "248289761001",
 "name"        : "testuser"
 "given_name"  : "testuser",
 "email"       : "testuser@custom-app.com",
}

• カスタムプロバイダー用のプラグインでサポートされている付与タイプ
1. 認可コードの付与
2. 暗黙的な許可
3. リフレッシュトークンの付与
4. リソース所有者の認証情報の付与
5. クライアント資格情報の付与



• 標準 OAuth プロバイダーとカスタム OAuth プロバイダーの違い

標準 OAuth リクエスト	カスタムOAuthリクエスト
Standard OAuth 2.0 Request: GET <authorization-endpoint>?     response_type=code     &client_id=<client_id>     &redirect_uri=<callback_url>     &scope=openid	Custom OAuth 2.0 Request: GET <authorization-endpoint>?     response_type=code     &client_id=<client_id>

• プロバイダーごとに要件が異なります
例: 一部のプロバイダーでは、スコープ パラメーターは必要ありません。一部のプロバイダーでは、ヘッダーでのみクライアント資格情報が必要ですが、一部のプロバイダーではヘッダーと本文でクライアント資格情報が必要です。 一部のプロバイダーは、アクセス トークン パラメーターで JWT トークンを送信します。 これらすべてのケースはプラグインで処理されます