OAuth2.0において、認可サーバーから発行された認証コードをサーバー間で共有し、認可サーバーからの発行先と異なるサーバーからリソースへアクセスすることは仕様上許容される操作なのでしょうか。 推奨されないであろうということはわかるのですが、RFC6749などを確認する限り、サードパーティーアプリケーションは単一のサーバーであるということが定義されていないため、仕様上は問題ないのではないかと考えています。 https://openid-foundation-japan.github.io/rfc6749.ja.html#client-types もし、こちらについてご存知の方がいらっしゃいましたら、ご教示いただけると幸いです。 *実装イメージ [![画像の説明をここに入力][1]][1] [1]: https://i.sstatic.net/H9uqm.png