PublicとConfidentialを分ける

Public Clientはcredentialを秘密に保てません。React bundleへClient Secretを入れず、token_endpoint_auth_method: noneとPKCEを使います。

Confidential ClientであるBFFとIndexerはserver環境でcredentialを保持できます。Better Auth 1.7.1は次をdiscoveryへ公開します。

client_secret_basic
client_secret_post
private_key_jwt

client_secret_basic

BFFと通常IndexerはHTTP Basicで認証します。secretはrequest bodyへ混ぜず、登録したmethodと一致させます。TLSなしのproductionではどのmethodも使いません。

Secretは共有対称credentialなので、ASとClientの両方が同じ値を知ります。rotation時には新旧secretの切替手順が必要です。

client_secret_post

form bodyへclient_idとclient_secretを入れます。Proxyやapplication logがbodyを記録する環境では漏えい面が増えます。

本書のResource API introspection Clientは、Better Authのremote verifierがこのmethodで送信する実装に合わせてclient_secret_post登録します。ライブラリ側の送信methodとClient metadataを確認した具体例です。

private_key_jwt

RFC 7523のClient Assertionでは、Clientがprivate keyで短寿命JWTを署名します。ASにはpublic JWKSだけを登録します。

const assertion = await new SignJWT({})
  .setProtectedHeader({ alg: 'ES256', kid })
  .setIssuer(clientId)
  .setSubject(clientId)
  .setAudience(tokenEndpoint)
  .setJti(crypto.randomUUID())
  .setIssuedAt()
  .setExpirationTime('5m')
  .sign(privateKey)

Token Requestへ次を加えます。

client_assertion_type=urn:ietf:params:oauth:client-assertion-type:jwt-bearer
client_assertion=<signed JWT>
client_id=<client ID>

ASはsignature、iss/sub、aud、期限、jti replayを検証します。Better Auth schemaのoauth_client_assertionは使用済みassertion IDを記録し、同じJWTの再利用を防ぎます。

key rotation

JWKSに新旧keyを一時的に並べ、Clientが新しいkidで署名し始めたことを確認してから旧keyを外します。Private keyをASへ送らないこと、kidだけでkeyを信用せず登録済みJWKS内から選ぶことが不変条件です。

次章ではClient metadataを誰が登録できるかという、さらに手前の境界を扱います。