概要
認可コードグラントは、サーバーサイド Web アプリケーションで使用される最も一般的で安全な認可フローです。以下に具体的な手順を示します。
認可フローの手順
1. 認可リクエスト
クライアントアプリケーションがユーザーを Google の認証画面にリダイレクトします。
リクエスト URL
GET https://accounts.google.com/o/oauth2/auth
?response_type=code
&client_id=264656200720-6t0qi4g8aa9lfe9fcthmlid79grv752a.apps.googleusercontent.com
&state=abcd
&scope=https://www.googleapis.com/auth/calendar.events
&redirect_uri=http://localhost/callback
パラメータ一覧
| パラメータ | 説明 | 必須 |
|---|---|---|
| response_type | 認可コードグラントフローを示す（code固定） |
○ |
| client_id | アプリケーションの識別子 | ○ |
| state | CSRF 攻撃を防ぐためのランダムな文字列 | ○ |
| scope | 要求する権限の範囲 | ○ |
| redirect_uri | 認可後のコールバック URL | ○ |
2. 認可レスポンス
ユーザーが認証・認可を完了すると、指定された redirect_uri にリダイレクトされます。
レスポンス URL
GET http://localhost/callback
?state=abcd
&code=4/0AanRRrvi_umBD4TsbKWrI9u4sWX1fpd3b5ScGS8WNFIGW4g7ESGHbFu2-oyOysmC98y-FA
&scope=https://www.googleapis.com/auth/calendar.events
検証項目
- state パラメータが元のリクエストと一致することを確認
- 認可コードは一時的なもので、速やかにアクセストークンと交換する必要がある
3. アクセストークン取得リクエスト
認可コードをアクセストークンと交換します。このリクエストはサーバーサイドで実行する必要があります。
リクエスト仕様
POST https://oauth2.googleapis.com/token
Content-Type: application/x-www-form-urlencoded
code=4/0AanRRrvi_umBD4TsbKWrI9u4sWX1fpd3b5ScGS8WNFIGW4g7ESGHbFu2-oyOysmC98y-FA
&client_id=264656200720-6t0qi4g8aa9lfe9fcthmlid79grv752a.apps.googleusercontent.com
&client_secret=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
&grant_type=authorization_code
&redirect_uri=http://localhost/callback
セキュリティ要件
-
client_secretは機密情報として扱い、公開しない - POST メソッドを使用する
- HTTPS で通信する
4. アクセストークンレスポンス
認可サーバーからアクセストークンが返されます。
レスポンス例
{
"access_token": "ya29.a0ARW5m75ZAP2xtxUVzXlS7vFcWZzBeVg_xvNCS0bBdFZ-z1emAMUjxKrcXr6Ly2mjKpwpFfZ2x1j8fPUvWzupBKvOc5UMIM37weOHDNwrkQUIizTBlDI2Owdj254MCQI93meddH21PzSoL-7rNPpvyLRFpfBlMT7aWs6bQithaCgYKAcMSARMSFQHGX2Mi-fBl3zfiMH-Ws5FMa3rONA0175",
"expires_in": 3599,
"scope": "https://www.googleapis.com/auth/calendar.events",
"token_type": "Bearer"
}
レスポンスパラメータ
| パラメータ | 説明 |
|---|---|
| access_token | API リクエストに使用するトークン |
| expires_in | トークンの有効期限（秒） |
| scope | 付与された権限の範囲 |
| token_type | トークンの種類（通常は"Bearer"） |
セキュリティ上の重要なポイント
1. クライアントシークレットの保護
- 絶対に公開しない
- サーバーサイドでのみ使用
- 環境変数などで安全に管理
2. state パラメータの使用
- CSRF 攻撃を防ぐため必ず使用
- 十分にランダムな値を使用
- 検証を必ず行う
3. 認可コードの取り扱い
- 一回限りの使用
- 速やかにアクセストークンと交換
- 有効期限は短い（通常数分）
4. アクセストークンの管理
- セキュアに保存
- 有効期限の管理
- 必要に応じて更新