OAuth 2.0 PlaygroundでOAuth 2.0のクライアントの気持ちになろう
OAuth 2.0に対応したAPIクライアントのアプリを書きたい気持ちになったのですが、テストをどうするか考えながらOSSの認可サーバーをローカルに立てたりするかなど考えていたら、OAuth 2.0 Playgroundというものを知りました。
こちらは実際に認可サーバーを使ってOAuth 2.0 のクライアントの気持ちになれるチュートリアルで、良さそうだったので紹介します。
OAuth 2.0 Playground
okta社によって提供されている、OAuth 2.0 とOIDCのフローを、実際に体験するためのチュートリアルです。
- Authorization Code
- PKCE
- Implicit
- Device Code
- OpenID Connect
に対応しており、実際に認可サーバーを叩きながらインタラクティブに学ぶことができます。
やってみる
今回はAuthorization Codeでやってみます。
まずフローを選択します。
クライアントを作成します。 認証情報などは自動で払い出されます。
このタイミングで、クライアントだけではなくユーザーのアカウントも払い出されます。
次に、払い出された情報を使ってAuthorization Requestをします。
実際に送るパラメータと、クライアントがこのタイミングでやることが表示されます。（stateを保存しよう！）
Authorization Requestによって、oktaのログイン画面に飛ばされるので、最初に発行されたユーザーの認証情報を入力しサインインします。
認可コードとstateが返ってきました。Clientは先程登録したstateと、返ってきたstateがマッチしていることを確認しましょう。とのことです。
stateがマッチしているのを確認したら、Token Endpointに取得した認可コードを送信します。
アクセストークンが返ってきました。
感想
OAuth 2.0 PlaygroundではただOAuth 2.0のフローをなぞるだけではなく、実際の認可サーバーにアクセスしながらクライアントが「何をすべきか？」を意識して学ぶことができるところが良いなと思いました。
私からは以上です。
