OAuth 2.0 Multiple Response Type Encoding Practices のバックアップ(No.6)

レスポンス・パラメタ
- token_type（response_typeにtokenが含まれる場合）
- access_token（response_typeにtokenが含まれる場合）
- id_token（response_typeにid_tokenが含まれる場合）
- code（response_typeにcodeが含まれる場合）

↑

id_token token †

OpenID ConnectのImplicit Flowを参照。

概要
Implicitのレスポンスにid_tokenが付いてるイメージ。

リクエスト・レスポンスの例

リクエスト・ヘッダ

GET /authorize?
   response_type=id_token%20token
   &client_id=s6BhdRkqt3
   &redirect_uri=https%3A%2F%2Fclient.example.org%2Fcb
   &state=af0ifjsldkj HTTP/1.1
 Host: server.example.com

レスポンス・ヘッダ

 HTTP/1.1 302 Found
 Location: https://client.example.org/cb#
 access_token=SlAV32hkKG
 &token_type=bearer
 &id_token=eyJ0 ... NiJ9.eyJ1c ... I6IjIifX0.DeWt4Qu ... ZXso
 &expires_in=3600
 &state=af0ifjsldkj

↑

code token †

OpenID ConnectのHybrid Flowを参照。

概要
Implicitのレスポンス・パラメタにcodeが付いてるイメージ。

リクエスト・レスポンスの例

リクエスト・ヘッダ

 GET /authorize?
   response_type=code%20token
   &client_id=s6BhdRkqt3
   &redirect_uri=https%3A%2F%2Fclient.example.org%2Fcb
   &state=af0ifjsldkj HTTP/1.1
 Host: server.example.com

レスポンス・ヘッダ

 HTTP/1.1 302 Found
 Location: https://client.example.org/cb#
   access_token=2YotnFZFEjr1zCsicMWpAA
   &token_type=Bearer
   &code=SplxlOBeZQQYbYS6WxSbIA
   &state=af0ifjsldkj
   &expires_in=3600

↑

code id_token †

OpenID ConnectのHybrid Flowを参照。

code tokenのaccess_tokenが、id_tokenに変わったもの。
この場合、token_typeパラメタのレスポンスは不要。

↑

code id_token token †

OpenID ConnectのHybrid Flowを参照。

code tokenのaccess_tokenに加え、id_tokenが追加される。

↑

セキュリティ考慮事項 †

↑

Query Stringにエンコード †

Query StringはHTTP Refererヘッダから第三者に漏洩する。

codeをQuery Stringにエンコードすることは安全
その他のトークンはQuery Stringにエンコードしてはならない。
デフォルトの応答モードがフラグメントエンコーディングであるレスポンスは、
Query Stringにエンコードされるべきではない（response_mode=query）。

↑