flow chartより先に聞くこと

Grant選定で最初に聞くのは「どのライブラリが簡単か」ではありません。

この答えから候補を絞ります。

Grant	principal	Client例	secret	user interaction
Authorization Code + PKCE	user	React SPA	不要	Browser redirect
Refresh Token	既存grantを継続	React / BFF	Client型による	通常は再Consentなし
Client Credentials	client	Indexer job	必要	なし
Device Authorization	user	CLI / TV	Publicなら不要	別Browser

選ばないgrant

Implicit GrantはAccess TokenをAuthorization responseへ直接返し、Browser URL周辺へ漏れる面が大きいため使いません。Authorization Code + PKCEで置き換えます。

Resource Owner Password Credentials GrantはClientがpasswordを収集するため使いません。ASの認証policyやMFAを迂回します。

Client Credentialsを「ユーザー操作のない万能flow」としてuser dataへ使うことも避けます。user consentやsubjectを表現できないためです。

4つのGrantは同じToken endpointへ入りますが、入力と検証が違います。Better AuthのToken処理はgrant_typeでhandlerを分ける前にClient認証を解決し、登録済みGrantかを確認します。

その後、grantごとのcredentialを検証します。

共通endpointだから共通のcredentialを使うわけではありません。

Part 3終了時点で次を観測できれば、Grantを単なるURL暗記から切り離せています。

次のPartでは、ここまでの「APIへ何を許可するか」に「利用者は誰か」というOIDCのidentity layerを重ねます。