「マイクロソフト系技術情報 Wiki」は、「Open棟梁Project」,「OSSコンソーシアム .NET開発基盤部会」によって運営されています。
目次 †
概要 †
UserAgent?（SPAやスマホ）でOAuth2のTokenを取得するベスト・プラクティス
（UserAgent?から、直接、Resource ServerのWebAPIにアクセスする）
詳細 †
SPA †
SPA : Single Page Application
Implicitが使用できる...が非推奨。 †
が、非推奨になってきたらしい。
- 入手したcodeはClientのServer側にポストして使用する。
※ Publicクライアントにclient_id、client_secretを持たせてはダメなので。
Token Bindingの雲行きが怪しくなっているので、PKCE＋Fragment みたいな方式はアリかもしれない。
- SPAをターゲットとして仕様が作成されている。
- 名前の通り、アプリケーション・レイヤで、記名式切符を発行することができる。
- これにより、SPAから直接Tokenエンドポイントにリクエストすることができる。
スマホ †
前提条件 †
- codeとtokenが、「Private-Use URL Scheme上書き攻撃」などから保護されない可能性がある。
Implicitは使用できない。 †
Implicitフロー非推奨 †
概要 †
CORSで、TokenエンドポイントにRequest可能になってきたので、
と言う方法が、SPAにおける認証・認可の推奨になりつつある。
参考 †
- これにより「Private-Use URL Scheme上書き攻撃」などから保護される。
- 入手したcodeはClientのServer側にポストしてアクセストークン・リクエストする。
※ Publicクライアントにclient_id、client_secretを持たせてはダメなので。
参考 †
ベストプラクティス †
- 金融向け規格なので、前述よりさらにセキュリティ・レベルが強化される。
- 現時点では、まだドラフト段階だが、スマホ、SPA、共に、この規格の導入を検討してイイ。
- F-API 1 / 2 共に、Confidential Client / Public Clientのプロファイルを持っている。
- このうち、スマホ / SPA、は、Public Clientのプロファイルを適用する。
S256のPKCE
...未定...
OSSコンソーシアム †
Tags: :IT国際標準, :認証基盤, :クレームベース認証, :OAuth
![[PukiWiki]](image/pukiwiki.png "[PukiWiki]")
