「マイクロソフト系技術情報 Wiki」は、「Open棟梁Project」,「OSSコンソーシアム .NET開発基盤部会」によって運営されています。
目次 †概要 †
詳細 †アーキテクチャ †APIと同一ドメイン †エンプラSPA的なアプリケーションはSessionを認証として使用してイイ
バックエンド・コンポーネント †
Flow †Authorization Code †
※ OAuth 2.0 で行うHTTP通信
Implicit Flow †
Refresh Token †Authentication Serverは、SPAに(フロントチャネルで)Refresh Tokenを
OAuth PKCE †結論 †OAuth 2.0 for Native Appsとだいたい同じ 使用するフロー †Implicitは脅威・欠点が多いので非推奨の流れ。 †UserAgentでOAuth2のTokenを取得するベスト・プラクティス → 詳細 → Implicitフロー非推奨 バックチャネルで発行するならAuthorization Code †SPAにtokenを渡せないが、Implicitと比べ脅威・欠点が少ない。 フロントチャネルで発行するならOAuth PKCE †SPAにtokenを渡す場合、OAuth PKCEを使う。 Client認証 †ただし、バックエンド・コンポーネントがConfidential Clientとみなせるので、 参考 †仕様 †
OAuth PKCE †OAuth 2.0 for Native Apps †AppAuth †当該ベストプラクティスの採用を助けるOpenID Foundationが後援する一連のライブラリ。 Tags: :IT国際標準, :認証基盤, :クレームベース認証, :OAuth |