OAuth 2.0 Authorization Code Flowの認可コードとアクセストークンの仕組み解説

OAuth 2.0のAuthorization Code Flowは、アクセストークンを安全にクライアントに渡すための標準的な仕組みです。認可コードやリダイレクトの意味、バックエンド間通信の役割を理解することで、安全な認証フローの全体像を把握できます。

アクセストークンを安全にクライアントに連携する方法

Authorization Code Flowでは、アクセストークンはユーザーエージェント（ブラウザ）を経由せず、サーバー間通信でクライアントに渡されます。具体的には、クライアントのバックエンドが認可サーバーにHTTPSでPOSTリクエストを送り、アクセストークンを受け取ります。この方法により、URLに直接アクセストークンを含める必要がなく、漏洩リスクが低減されます。

認可コードがURLに含まれる理由

認可コードは短命かつ単回使用のため、URLに含めてユーザーエージェント経由でクライアントに渡してもセキュリティリスクが低いとされています。クライアントはこのコードを使って、バックエンド経由でアクセストークンを安全に取得します。

この設計により、アクセストークン自体がブラウザを経由することなく、安全に受け渡し可能になります。

リダイレクトの必要性

認可サーバーはユーザーを指定されたredirect_uriにリダイレクトすることで、ユーザーの認証結果と認可コードをクライアントに渡します。redirect_uriは事前に登録されたクライアントのURLであり、認可サーバーはこのURLに認可コードを付加してリダイレクトします。

このリダイレクトにより、ユーザーのブラウザが認可結果を持って安全にクライアントに戻ることができます。クライアントはブラウザで受け取った認可コードを使い、サーバー間でアクセストークンを取得します。

バックエンド間通信とは

認可コードを使ってアクセストークンを取得する通信は、クライアントのバックエンドサーバーと認可サーバー間でHTTPSを用いた直接通信で行われます。ここでは、ブラウザのリダイレクトや画面遷移は伴わず、HTTPリクエストとレスポンスのみが行われます。

この方式により、アクセストークンがユーザーエージェントを経由することなく安全に取得され、セキュリティが確保されます。

まとめ

Authorization Code Flowでは、認可コードをURLに含めてユーザーエージェント経由でクライアントに渡し、アクセストークンはバックエンド間通信で安全に取得します。認可コードを短命・単回使用とすることで安全性を確保し、リダイレクトはユーザーの認証結果をクライアントに伝えるために必要です。これにより、OAuth 2.0はアクセストークンの漏洩リスクを最小化した安全な認証フローを実現しています。