OAuth2 v1
概要
DMDATA.JPでは、認可にOAuth2.0を使用します。 認可コードフロー/リフレッシュトークンフロー、クライアント・クレデンシャルズフローをサポートしています。
RFC6749、RFC7009、RFC7636、RFC 9449 - DPoP にて定義されている仕様 に沿って認可サーバーは実装(一部コアな実装を除く)されています。
アカウント連携などの認証 (OpenID Connect) はサポートしていません。
OAuth クライアント
OAuth2.0では、作成したアプリケーションごとにクライアント必要です。クライアントの発行は、認証情報よりできます。
また、リダイレクトURIや使用するフロー、製作者の公開連絡先、アプリケーションの公開URL、利用規約、プライバシーポリシーが必要です。
クライアントの種類
OAuthではクライアントの種類が2つ定められており、「機密」と「公開」があります。
公開は、クライアントシークレットキーが保護できないWebアプリケーションや、ネイティブアプリケーションに使用します。 クライアント・クレデンシャルズフローは使用できません。
機密は、クライアントシークレットキーが保護できるごく限られたWebサーバーなどに使用します。
クライアントの種類が機密の場合、トークンエンドポイントにリクエストする際、シークレットキーが必要となります。