Pushed Authorization Requests（PAR）を使用する認可コードフロー

​

仕組み

​

利点

• 認可サーバーは、リクエストの送信元を信頼でき、リクエストがエンドユーザーによって改変されていないことも保証できます。
• リクエストの詳細がブラウザーのアドレスバーや履歴に露出せず、その時点でプライバシーが保たれます。
• URL の長さに関する制限を気にする必要がありません。

​

制限事項

• リクエストのペイロードの最大サイズは 10 KB です。
• 現在、パブリックアプリケーションはサポートされていません。詳しくは、パブリックアプリケーションと機密アプリケーションをお読みください。

​

PAR エンドポイントを呼び出す

​

要件

• リクエストのコンテンツタイプをapplication/x-www-form-urlencodedに設定します。
• 渡すすべてのパラメーターには文字列を使用します。
• リクエストに、アプリケーションの認証方式を指定する追加のパラメーターを含めます。PARをサポートしているのは機密クライアントのみであるため、使用できるアプリケーションの認証方式は次のとおりです: Client Secret、Private Key JWT、およびmTLSです。アクセストークンを取得する際は、/tokenエンドポイントでも同じアプリケーションの認証方式を使用する必要があります。

​

サポートされているパラメーター

• 認可エンドポイントで認識される、標準の OAuth 2.0 パラメーターと該当する拡張機能。
• ext- 接頭辞が付いたカスタム認可パラメーターを最大 10 個。

​

PARリクエストの例

curl --location --request POST https://$tenant/oauth/par \
  -H "content-type: application/x-www-form-urlencoded" \
  -d "client_id=CLIENT_ID"\
"&client_secret=CLIENT_SECRET"\
"&redirect_uri=https://jwt.io"\
"&audience=urn:my-notes-api"\
"&scope=openid%20profile%20read:notes"\
"&response_type=code"

​

PARレスポンスの例

• request_uri は、保存された認可リクエストを参照するためのものです。リクエストの値は、request_uri パラメーターとして GET /authorize endpoint に渡されます。
• expires_in は、request_uri の有効期間 (秒数) を示します。この時間を過ぎると、request_uri は使用されていない場合に期限切れになります。30秒という有効期限は固定値で、変更できません。

HTTP/1.1 201 Created
 Content-Type: application/json

 {
  "request_uri":
    "urn:ietf:params:oauth:request_uri:6esc_11ACC5bwc014ltc14eY22c",
  "expires_in": 30
 }

​

レート制限

​

認可エンドポイントを呼び出す

GET /authorize?client_id=CLIENT_ID&request_uri=urn%3Aietf%3Aparam...qrwSI HTTP/1.1 Host: TENANT.auth0.com

​

検証

• PAR は、このステージで他の認可リクエストと同様に、認可サーバーによって再度検証されます。
• request_uri の値は 1 回しか使用できません。
• 有効期限切れの request_uri は認可サーバーによって拒否されます。
• テナントレベルまたはクライアントレベルで PAR が必須の場合、PAR ではないリクエストは拒否されます。

​

さらに詳しく

• Pushed Authorization Requests (PAR) の設定