callbackへ戻る値

Consentが確定すると、ASは登録済みRedirect URIへ次のparameterを付けて戻します。

HTTP/1.1 302 Found
Location: http://127.0.0.1:4200/callback?
  code=...&
  state=...&
  iss=http%3A%2F%2Flocalhost%3A4100%2Fapi%2Fauth

Codeの中身をClientが解釈する必要はありません。短時間だけ有効で、一度Token endpointへ提示したら消費される引換券です。

Better Auth内のAuthorization Code call pathとDB

Codeへ結び付くもの

oauth_authorization_code recordには少なくとも次の関係が必要です。

Codeだけを盗んでも、別Client、別Redirect URI、PKCE verifierなしではTokenへ交換できない構造です。

ClientはCode交換より先にstateとissを検証します。

const transaction = consumeTransaction(sessionStorage, returnedState)
assertIssuer(query.get('iss'), transaction.issuer)

consumeTransactionは読んでから消すのではなく、lookup keyとrecordを直ちに削除してから内容を検証します。例外が起きても同じcallbackを再利用できません。

issはRFC 9207のAuthorization Server Issuer Identificationです。複数ASを扱うClientでresponse mix-upを防ぎます。ラボは一つのASしか使いませんが、設計を単一環境の偶然へ依存させません。

Token交換が完了したら次を実行します。

history.replaceState(null, '', '/')

これによりBrowser history、copyしたURL、screenshotへCodeを残しません。Codeは短命・一回限りでもcredentialです。

Authorization CodeはAccess TokenをURLへ載せないための中間物ですが、Code単体の秘匿性だけには頼りません。次章でPKCE verifierを提示し、開始したClient instanceとの結び付きを完成させます。