とりあえず走り書きです。時間がある時にブラッシュアップします。
refresh_tokenをcookieに保存するのはセキュリティリスクがあるのでは？と考え、ではSPAアプリケーションでどうやってセキュアにaccess_tokenのrefreshをするのかを考えました。
認証
- code_challenge, code_verifierの作成
- 認証リクエスト
- コールバック後、tokenリクエスト
- id_tokenの検証
- refresh_tokenをredisに保存し、session keyを発行
- session_keyとaccess_tokenをcookieに保存
- 画面を表示
- 以後SPA
アクセス時認可
- サーバーサイドでaccess_tokenの有効性を確認
- 無効な場合、token refreshフローへ
- 画面を返す
- 以後SPA
定期的認可
- 一定の間隔(1時間？2時間？)でリロードする
- アクセス時認可が走る
token refresh フロー
- cookieからsession_keyを取り出す
- refresh_tokenをredisから取り出す
- token refresh apiを叩く
- 新しいrefresh_tokenをredisに保存して新しいsession_keyを取得
- access_tokenとsession_keyをcookieに保存
全体として、このフローはセキュリティを確保しつつ、SPAでのUXを最適化するための適切なアプローチを示しています。ただし、実装する際には、セキュリティ設定（特にCookieのHttpOnly、Secure、SameSite属性）や、セキュリティベストプラクティスへの準拠を確実に行うことが重要です。また、トークンの有効期間やリフレッシュ戦略を適切に設計することで、セキュリティリスクをさらに低減することが可能です。
これがベストなのかはわかんないです。もっといい方法を知っている方がいたらコメントお願いします