OAuth 2.0・OIDC デバッガー
OAuth と OIDC のフローを組み立て・検査・修正
OAuth と OIDC の問題をひとつのワークスペースで
このデバッガーは、サインインフローが失敗しやすい各ステップをカバーします。認可 URL の組み立て、PKCE のベリファイアとチャレンジの生成、コールバックの読み取り、ID トークンとアクセストークンの検査、リダイレクト URI の比較、OAuth エラーコードの解説です。値はセクション間で引き継がれるため、生成したチャレンジは URL に追加され、コールバックのトークンはトークン検査で開けます。
ローカル処理でシークレットも安全
すべての処理はブラウザー内で行われます。クライアントシークレットを求めることも、コードをトークンに交換することもなく、ネットワークリクエストも送信しません。プロバイダーと通信するのは、認可 URL を新しいタブで開く操作だけです。コード、トークン、ベリファイアは既定でマスクされ、メモリ内にのみ保持され、保存、ログ出力、ページ URL への追加は行いません。記憶されるのは選択中のセクションだけです。
デコードは検証ではありません
トークン検査は JWT のヘッダーとクレームをデコードし、iss、aud、azp、sub、scope、scp、exp、nbf、iat、nonce、alg、kid を期待値と照合します。時刻のずれ許容は設定できます。JWKS の鍵の取得や署名の検証は行わないため、サーバーが署名を検証するまで、デコードされたクレームは未検証です。不透明トークンや暗号化トークンは推測せず、その種類として識別します。
チェックの根拠となる標準
チェックは RFC 6749（OAuth 2.0）、RFC 6750（Bearer トークン）、RFC 7636（PKCE、テストベクターを含む）、RFC 8252（ネイティブアプリとループバックのリダイレクト）、RFC 9207（コールバックでの発行者）、RFC 9068（JWT アクセストークン）、OpenID Connect Core に基づき、PKCE 付きの code フローを使うという OAuth 2.1 の方針にも従います。プロバイダーの挙動はさまざまなため、警告はリクエストが失敗すると断定せず、その理由を説明します。
