お前がアプリ作る前に
言っておきたい事がある
かなり厳しい話もするが
俺の本音を聞いておけ

パスワードフロー　使ってはいけない
インプリシットにも　リスクしかない
stateはうまく作れ
いつもPKCEしろ
できる範囲で構わないから

忘れてくれるな
OAuthは認可の仕様だってことを
OpenID Connectにしか
できないこともあるから
それ以外は口出しせずに
黙ってOAuth2.0について来い

1st-partyと3rd-party
どちらも同じだOAuth2.0にしろ
変な警察はかしこくこなせ
たやすいはずだ state使えばいい

オレオレ認証するなさすな
それからつまらぬ　手抜きをするな
俺は自前の認証機構をつくらない
多分作らないと思う
作らないんじゃないかな
ま、ちょっと覚悟しておけ

認可コードフローは二人で育てるもので
どちらかが苦労して
つくろうものではないはず
お前は俺の処へ
オレオレ認可メカニズムを捨てて来るのだから
帰る場所はないと思え
これからOAuthがお前の手段