Access Tokenはログイン結果ではない

OAuth Access Tokenが示すのは、ClientがRSへ特定操作を要求できることです。Browser UIへ「Aliceとしてログイン中」と表示するためのTokenではありません。

OpenID Connect Core 1.0はOAuth 2.0のAuthorization Code Flowへidentity layerを追加します。Authorization Requestにopenid scopeを含めると、Token ResponseにID Tokenが加わります。

OAuthへOIDC identity layerを重ねるflow

scope=openid profile email notes:read
nonce=<random>

profileとemailはidentity claimの要求です。notes:readはResource APIのdelegated permissionです。同じscope parameterに入りますが、用途を分けて読みます。

3つの受取人

artifact	主な受取人	用途
Authorization Code	Client	Token endpointで交換
Access Token	Resource Server	API accessを認可
ID Token	Client	Authentication eventを検証

ID TokenのaudはClient IDです。Notes APIではありません。したがってID TokenをAuthorization: BearerでRSへ送り、Access Tokenの代わりにする実装は拒否します。

逆にAccess Tokenをdecodeしてemailを表示することも避けます。Access Tokenのclaim contractはRS向けであり、Client identity UIのcontractではありません。

nonceをtransactionへ加える

OIDC Requestではnonceを新しく生成し、Authorization transactionへ保存します。

const transaction = createTransaction({
  codeVerifier,
  nonce: randomBase64Url(32),
  issuer,
  redirectUri
})

ID Token内のnonceが一致することで、TokenがこのBrowser transactionの認証結果に結び付きます。stateはAuthorization response、nonceはID Tokenのreplay防止です。

Better Authのclaim authority

Providerはuser、session、client、scope、requested claimからID Tokenを作ります。custom callbackでclaimを追加できますが、iss、sub、aud、exp、iat、nonce、at_hashなどの予約claimを上書きさせません。

APIのdomain claimを無制限にID Tokenへ入れると、Clientへ不要な個人情報を配ることになります。identity claimとauthorization dataを分け、最小限を発行します。

OIDCを有効にしない場合

openidを要求しないAuthorization Code FlowはOAuthのままです。ID TokenがなくてもAccess TokenでNotes APIを利用できます。ProviderがOIDC endpointも提供しているからといって、すべてのrequestがOIDCになるわけではありません。

次章ではID Tokenを「decodeできたJWT」ではなく、検証済みauthentication statementとして扱います。