PKCEを使用したアカウントの認証
機密性の高いアプリケーションおよび公開アプリケーションには、認可コードとS256 PKCEを使用してください。
- 暗号的にランダムな状態と新しいPKCE検証子を各認可のために生成します。S256チャレンジを計算します。
- client_id、正確なredirect_uri、response_type=code、scope、state、code_challenge、code_challenge_method=S256を含めて認可エンドポイントにリダイレクトします。
- 顧客がサインインし、個人または組織アカウントを選択し、スコープを確認し、任意の課金プランを承認します。
- コールバックでstateを検証します。元のリダイレクトURIとcode_verifierを使用してコードを一度だけ交換します。
- トークンを安全に保存します。返されたクライアントスコープのサブジェクトを顧客識別子として使用します。
POST
https://auth.shareai.now/oauth/token- ベースURL
https://auth.shareai.now- 認証
- 公開クライアントID + PKCE、または機密クライアント認証 + PKCE
cURL
curl --fail-with-body 'https://auth.shareai.now/oauth/token' --data-urlencode 'grant_type=authorization_code' --data-urlencode "client_id=$SHAREAI_CLIENT_ID" --data-urlencode "code=$AUTHORIZATION_CODE" --data-urlencode 'redirect_uri=https://your-app.example/callback' --data-urlencode "code_verifier=$PKCE_VERIFIER"
この例は公開クライアント用です。シークレットやHTTP Basic認証情報を追加しないでください。機密クライアントは、PKCEに加えてサーバー側のクライアント認証情報を使用して認証します。機密シークレットをブラウザ、デスクトップ、モバイル、またはセルフホスト型配布に含めないでください。
発見: https://auth.shareai.now/.well-known/openid-configuration. 広告されたエンドポイントと署名キーを使用します。stateの不一致、予期しない発行者、無効なIDトークンのオーディエンスまたは署名を拒否します。
標準: OAuthセキュリティベストプラクティス と PKCE. リフレッシュトークン.
最終更新日 2026年9月18日