認可の前に本人を確認する

Authorization endpointがrequestを受けても、Resource OwnerがASへログインしていなければConsentを判断できません。Better Auth OAuth ProviderはloginPage: '/sign-in'へBrowserを移動させます。

ここで作るのはClientのsessionではなく、ASに対する利用者sessionです。React Public ClientのoriginへBetter Auth cookieを共有しません。

const authClient = createAuthClient({
  baseURL: 'http://localhost:4100',
  plugins: [oauthProviderClient(), oauthDeviceAuthorizationClient()]
})

await authClient.signIn.email({ email, password })

seed以外のsignupは無効です。Bookのreaderは.local/.envに生成されたlocal userでsign inします。公開signupを残すと、OAuth protocolの観測とは関係のないaccount lifecycleまで攻撃面に含まれるためです。

oauth_queryを壊さず復帰する

call pathは次のようになります。

/oauth2/authorize
  └─ sessionなし
      └─ /sign-in?oauth_query=...
          └─ Better Auth signIn.email
              └─ session cookie発行
                  └─ 元のauthorize処理へ復帰

oauth_queryは表示用文字列ではありません。ASが認可transactionを継続するための入力なので、UIは任意のparameterを追加しません。

local labはHTTPのためSecure=falseですが、これはloopback限定です。本番はHTTPSでSecure=trueにします。HttpOnlyによりReactからsession tokenを読めないようにし、SameSiteとOrigin検証を組み合わせます。

さらに次を明示します。

advanced: {
  useSecureCookies: false,          // local only
  crossSubDomainCookies: { enabled: false }
}

cross-subdomain cookieを無効にするのは、ClientやRSのhostへAS sessionを広げないためです。

passwordはOAuth credentialではない

Resource OwnerのpasswordがClientへ渡らないことを確認してください。BrowserはAS画面へ移動し、passwordはASのBetter Auth endpointへだけ送られます。Resource Owner Password Credentials Grantを追加する余地はありません。

RFC 9700は、このgrantを使ってはならないとしています。Clientがpasswordを扱うと、権限の限定、MFA、phishing resistance、credential rotationといったASの境界が崩れるからです。

failureを観測する

Cookieを消して再開 → sign-inへ戻るがOAuth requestは継続できる
signup endpointを通常modeで呼ぶ → 拒否される
Client originからAS cookieを読む → HttpOnlyかつhostが違うため読めない
prompt=noneでsessionなし → UIを出さずlogin_required

ログイン成功はまだ認可成功ではありません。次章で、利用者がClientへ渡すscopeを明示的に選びます。

認可の前に本人を確認する

oauth_queryを壊さず復帰する

Cookie属性を読む

passwordはOAuth credentialではない

failureを観測する