1

OAuth2.0において、認可サーバーから発行された認可コードをサーバー間で共有し、認可サーバーからの発行先と異なるサーバーからリソースへアクセスすることは仕様上許容される操作なのでしょうか。

推奨されないであろうということはわかるのですが、RFC6749などを確認する限り、サードパーティーアプリケーションは単一のサーバーであるということが定義されていないため、仕様上は問題ないのではないかと考えています。
https://openid-foundation-japan.github.io/rfc6749.ja.html#client-types
もし、こちらについてご存知の方がいらっしゃいましたら、ご教示いただけると幸いです。

*実装イメージ

画像の説明をここに入力

1 件の回答 1

3

認可コードは1回使うと無効化されるので共有することはできません。
4.1.2. 認可レスポンス

もし認可コードが2回以上使用された場合は, 認可サーバーはリクエストを拒否しなければならず (MUST)

アクセストークンを共有したい、という話であれば可能でしょう。
ただしクライアント認証において図中のサーバー1,2がともに同一クライアントであるとみなされる必要があります。

(サーバー1, 2 が各々独自にリソースサーバーへアクセスするのではなく、Gatewayサーバー的なものを経由するようにしてアクセスを1本化するのが一般的かと思います。)

1
  • 1
    ちなみに「認証コード」という用語はOAuth2.0仕様上にはありません。(図に登場する「認可コード」だとみなして回答しています) Commented 2023年8月25日 9:53

この質問に回答するには、ログインする必要があります。

求めていた回答ではありませんか? のタグが付いた他の質問を参照する。