常連

### 前提

GASでAmazonSP-APIと連携している、スプレッドシートがあります。
これを、スプレッドシートをコピーしてそのまま配布しても同様に動作するようにしたいです。

しかし、SPAPIの認証方法（利用者セラーからアプリケーションへの認可）で詰まっている状態で、
[認証ワークフロー](https://github.com/amzn/selling-partner-api-docs/blob/main/guides/ja-JP/developer-guide/SellingPartnerApiDeveloperGuide(%E6%97%A5%E6%9C%AC%E8%AA%9E).md#%E3%82%A6%E3%82%A7%E3%83%96%E3%82%B5%E3%82%A4%E3%83%88%E3%83%AF%E3%83%BC%E3%82%AF%E3%83%95%E3%83%AD%E3%83%BC)からすると、下記2点により難しいのではないかと考えています。
①複製後のスプレッドシートは最初Webアプリとしてデプロイされていないため、認証完了後のリダイレクトを受けられない
②リダイレクトURIが用意できたとしても、それをセラーセントラルのアプリケーション登録画面から設定しなければならない
→①は手順追加で対応できますが、②は運用上現実的ではない状態です


### 実現したいこと


コピー後も認証フローを完了させられるようなスプレッドシートにしたいので、
そのための仕組みづくりが可能であれば教えていただきたいです。
（セラーセントラルのアプリ登録でリダイレクトURIはこれにする、リダイレクト用アプリを用意する、設定するstateパラメータはこれにする等）
コピー後スプレッドシートに対しての個別設定は、Webアプリデプロイの操作のみ許容できます。

### 発生している問題・エラーメッセージ
単純にスプレッドシートをコピーしたもので認証しようとすると、
「SP-APIを承認」画面のConfirm後に下記メッセージが表示されます。

```
問題が発生しました
無効なリダイレクトURLを受信しました。使用されたリダイレクトURLを確認してください。

Amazonテクニカルサポートに連絡して、以下の情報をお知らせください。

App ID: amzn1.sp.solution.XXX
Error Code: MD5101
```

### 該当のソースコード

```javascript
AUTH_ENDPOINT = 'https://XXX';
TOKEN_ENDPOINT = 'https://YYY';
CLIENT_ID = 'AAA';
CLIENT_SECRET = 'BBB';
APP_ID = 'CCC';

// OAuth2ライブラリ使用
function getService() {
  // OAuth 2.0承認サービスの生成
  return OAuth2.createService('spapi')

    .setAuthorizationBaseUrl(AUTH_ENDPOINT)   // 認可エンドポイント
    .setTokenUrl(TOKEN_ENDPOINT)              // トークンエンドポイント

    .setClientId(CLIENT_ID) // OAuthクライアントID
    .setClientSecret(CLIENT_SECRET) // OAuthクライアントシークレット

    .setParam('application_id', APP_ID)
    .setParam('version', 'beta')

    // OAuth2.0 承認後のコールバック関数名の設定
    .setCallbackFunction('authCallback')

    // 承認トークンを維持するプロパティーストアの設定
    .setPropertyStore(PropertiesService.getUserProperties())
}

/**
 * 最初のOAuth2承認の際のコールバック処理
 */
function authCallback(request) {
  var service = getService();
  // トークン取得用にパラメータを追加
  request.parameter['code'] = request.parameter.spapi_oauth_code;

  var authorized = service.handleCallback(request);
  if (authorized) {
    service.getAccessToken();
    return HtmlService.createHtmlOutput(`認証に成功しました。`);
  }
  return HtmlService.createHtmlOutput('認証に失敗しました。処理をやり直してください。');
}

/**
 * 認証用ダイアログ（html）表示
 * セラーセントラルの認証URLへリンクさせる
 */
function showDialog(){
  const service = getService();
  const url = service.getAuthorizationUrl();
  const tag_text = `<button type="button" class="btn btn-primary" onclick="window.open('${url}')">セラーセントラルで認証する</button>`;
  const html = HtmlService.createHtmlOutput(tag_text);
  SpreadsheetApp.getUi().showModalDialog(html, "認証ダイアログ");
}
```

```
//セラーセントラルのアプリ登録画面「OAuthリダイレクトURI」
https://script.google.com/macros/d/{コピー元スプレッドシートのスクリプトID}/usercallback
```

複製したGASで、AmazonSPAPIの認可フローを完了する

### 前提・実現したいこと
node.js 上の nodemailer で OAuth 2.0 を使って gmail からメールを送る為に「ClientID」「Client secret」「Refresh token」を取得したいのですが、途中で承認エラー403: access_deniedが出てしまいました。
エラーの解決方法を教えて頂きたいです。よろしくお願いします。


[https://gist.github.com/neguse11/bc09d86e7acbd6442cd4](https://gist.github.com/neguse11/bc09d86e7acbd6442cd4)
を参考に「ClientID」「Client secret」「Refresh token」取得を進めています。
「Client ID」と「Client secret」は取得出来ました。

[https://developers.google.com/oauthplayground](https://developers.google.com/oauthplayground)
で、「Step 1」の下部にある「Input your own scopes」に「https://mail.google.com/」を入力し「Authorize APIs」を押すと【アカウントの選択】画面になります。そこに表示されている該当のアカウントを選択すると、承認エラーがでます。


### 発生している問題・エラーメッセージ

```
エラー 403: access_denied
The developer hasn’t given you access to this app. It’s currently being tested and it hasn’t been verified by Google. If you think you should have access, contact the developer (●●●@gmail.com).

リクエストの詳細
access_type=offline
response_type=code
redirect_uri=https://developers.google.com/oauthplayground
prompt=consent
flowName=GeneralOAuthFlow
client_id=●●●.com
scope=https://mail.google.com/
```

### 補足情報（FW/ツールのバージョンなど）
macOS Big Sur バージョン11.0.1

Google認証エラー 403: access_deniedを解決したい

※11/4に起票した質問ですが、11/5にさらに追記しました。追記部分は【11/5追記】と書いています。よろしくおねがいします。

AWSを使ってWebアプリケーションを開発しています。
Cognitoを使ってGoogleソーシャルログインを装備しようとしています。
以下のドキュメントに従って作業しています。

https://aws.amazon.com/jp/premiumsupport/knowledge-center/cognito-google-social-identity-provider/

現状でつまづいているのは「エンドポイントURLをテストする」で「An error was encountered with the requested page.」というエラーが出ています。

以下、ドキュメントをなぞる形になりますが、行った作業を詳述します。

### 環境
EC2＋nginx＋Route53＋ALB＋GCMで、https://www.example.comでALB経由でEC2上のDocumentRoot/index.htmlが見える状態にしました。
作業はすべてChromeブラウザーで行い、開発兼テストユーザーとなるGoogleアカウントでログインしている状態です。

### Cognito側の設定（１）
- **ユーザープールの作成**を行い、以下の設定を行いました。
必須の属性＝email
ユーザー名属性＝email

- **アプリクライアントの作成**を行い、アプリクライアントIDを得ました。以下のように設定しました。
シークレットキーあり
SRP認証オフ
【11/5追記】最初は上記のドキュメントにならって「シークレットキーなし」にしていましたが、そうすると後でHTTPSリスナールールの認証に追加できないのでありで再作成しました。

- **アプリクライアントの設定**において、以下のように設定しました。
有効なIDプロバイダー＝Cognito Userをオン
コールバックURL＝https://www.example.com
サインアウトURL＝なし
許可されているOAuthフロー＝Authorization code grant＋Implicit grant
許可されているOAuthスコープ＝email openid profile

- **ドメイン名の追加**を行いました。
Amazon Cognito ドメインの使用を選択
プレフィックスとしてexampleを選びました。
ドメイン名は以下のようになりました。
https://example.auth.ap-northeast-1.amazoncognito.com

### GCP側の設定
- **GCPプロジェクトの作成、OAuthの同意画面の設定**
承認済みドメインにamazoncognito.comを追加を行いました。

- **OAuth2.0クライアントの作成**
ウェブアプリケーションとして作成しました。
- **承認済みの JavaScript 生成元**として、以下を設定しました。
https://example.auth.ap-northeast-1.amazoncognito.com
- **承認済みのリダイレクト URI**として、以下を設定しました。
https://example.auth.ap-northeast-1.amazoncognito.com/oauth2/idpresponse
- 設定を保存し、クライアントIDとクライアントシークレットを得ました。

### Cognito側の設定（２）
- **フェデレーション＞IDプロバイダーの設定**
Googleを選択し、以下のように設定してGoogleの更新をクリックしました。
Google アプリ IDとして、GCP画面のクライアントIDを設定
アプリシークレットとして、GCP画面のクライアントシークレットを設定
承認スコープ＝email openid profile

- **属性マッピング**で、emailのユーザープール属性Emailのキャプチャを設定しました。

- **アプリクライアントの設定**で、以下のように設定しました。
有効なIDプロバイダ＝Googleを追加

### 【11/4追記】ALBの設定
本来下のUIのテストを行ってから行う作業かと思いますが、ALBのHTTPSのリスナーにルールを追加しました。
HTTPS 443:デフォルトアクションに、もともとEC2のターゲットグループへの転送が入っていましたが、そこに「認証」アクションの追加を行いました。
- 認証: Amazon Cognito
- Cognitoユーザープール：唯一のユーザープール
- アプリクライアント：唯一のアプリクライアント
- スコープ：openid email profile
- 他の項目：デフォルトのまま


### テスト
- **ホストされたUIを起動**をクリックしました。
GoogleアイコンとともにContinue with Googleボタンが表示されますが、ボタンをクリックすると、「An error was encountered with the requested page.」と表示されます。
- URLは「https://example.auth.ap-northeast-1.amazoncognito.com/error?error=redirect_mismatch&client_id=CognitoのクライアントID」です。
- 上記の「ALBの設定」で加えたHTTPSのリスナールール「認証」を外すと、Googleアイコンをクリックすると正常にhttps://www.example.comが表示されました。
- しかし、この状態では、ブラウザーからhttps://www.example.comにアクセスすると、当然ながらWebが正常に表示されます。
- この時点で、上記の「ALBの設定」のようにリスナールール「認証」をつけてみました。
- その状態で、https://www.example.comにアクセスすると、上記と同様のエラーになります。

### 質問
上記の状態をフィックスして、https://www.example.comにアクセスすると、Google認証が行われ、Webサイトにアクセスが正常に進むようにするには、どうしたらいいでしょうか。

【追記あり】AWS：Cognito＋Google認証でエラー

OAuth2を勉強している者です。
「認可コードグラント」のアクセス**トークンを取得するまでの部分**がどうしても分かりません。
的外れな質問してたらすみません。

![イメージ説明](2210a970ed5e2bbdc82182dc33184f88.jpeg)



下の図で言うと、１～１１に当たります。

###分からない点
クライアントの認可リクエストに対して、直接アクセストークンを渡さずに認可コードを返し、クライアントは認可コードと一緒にアクセストークンをリクエストします。

**なぜこのような二度手間の仕組みになっているのでしょうか？**

アクセストークンを守るためでしょうか？
でも待って下さい。
認可コードは盗まれても、有効期限が標準10分程度に設定されているため安全とのことです。
それなら最初からアクセストークンを10分にすれば良いのではないでしょうか？
それじゃダメな理由が分かりません・・・。

分かる方どうか教えて下さい。
宜しくお願い致します。

【OAuth2】認可コードグラントにおいて、直接アクセストークンを介さず最初に認可コードを介す理由が分かりません

### 前提・実現したいこと
OAuth2で Microsoft365のメールの送受信を行いたいのです。
アプリはjavaで開発しています。

Azureポータルでアプリの登録を行い、アクセス許可には以下の様に追加しています。

- IMAP.AccessAsUser.All
- offline_access
- openid
- SMTP.Send
- User.Read

スコープには以下を設定しています。
- openid
- offline_access
- https://outlook.office.com/IMAP.AccessAsUser.All
- https://outlook.office.com/SMTP.Send

Microsoft365では独自ドメインを設定しています(xxxxx.onmicrosoft.com ではありません)。
Azureポータルのアプリの設定で何か不足しているのでしょうか？
Microsoft365で独自にドメインを設定する場合は他に設定が必要なのでしょうか？

### 発生している問題・エラーメッセージ

アクセストークンの取得、ユーザー認証、メールの受信は問題なくできています。
ですが、送信する際に認証エラー

__535 5.7.3 Authentication unsuccessful__

が発生します。

ログは以下の通りです。
```shell
[SMTP] DEBUG: getProvider() returning javax.mail.Provider[TRANSPORT,smtp,com.sun.mail.smtp.SMTPTransport,Oracle]
[SMTP] DEBUG SMTP: useEhlo true, useAuth false
[SMTP] DEBUG SMTP: trying to connect to host "smtp.office365.com", port 587, isSSL false
[SMTP] 220 TY1PR01CA0144.outlook.office365.com Microsoft ESMTP MAIL Service ready at Tue, 28 Jul 2020 07:00:18 +0000
[SMTP] DEBUG SMTP: connected to host "smtp.office365.com", port: 587
[SMTP] EHLO host.example.com
[SMTP] 250-TY1PR01CA0144.outlook.office365.com Hello [106.159.156.75]
[SMTP] 250-SIZE 157286400
[SMTP] 250-PIPELINING
[SMTP] 250-DSN
[SMTP] 250-ENHANCEDSTATUSCODES
[SMTP] 250-STARTTLS
[SMTP] 250-8BITMIME
[SMTP] 250-BINARYMIME
[SMTP] 250-CHUNKING
[SMTP] 250 SMTPUTF8
[SMTP] DEBUG SMTP: Found extension "SIZE", arg "157286400"
[SMTP] DEBUG SMTP: Found extension "PIPELINING", arg ""
[SMTP] DEBUG SMTP: Found extension "DSN", arg ""
[SMTP] DEBUG SMTP: Found extension "ENHANCEDSTATUSCODES", arg ""
[SMTP] DEBUG SMTP: Found extension "STARTTLS", arg ""
[SMTP] DEBUG SMTP: Found extension "8BITMIME", arg ""
[SMTP] DEBUG SMTP: Found extension "BINARYMIME", arg ""
[SMTP] DEBUG SMTP: Found extension "CHUNKING", arg ""
[SMTP] DEBUG SMTP: Found extension "SMTPUTF8", arg ""
[SMTP] STARTTLS
[SMTP] 220 2.0.0 SMTP server ready
[SMTP] EHLO host.example.com
[SMTP] 250-TY1PR01CA0144.outlook.office365.com Hello [106.159.156.75]
[SMTP] 250-SIZE 157286400
[SMTP] 250-PIPELINING
[SMTP] 250-DSN
[SMTP] 250-ENHANCEDSTATUSCODES
[SMTP] 250-AUTH LOGIN XOAUTH2
[SMTP] 250-8BITMIME
[SMTP] 250-BINARYMIME
[SMTP] 250-CHUNKING
[SMTP] 250 SMTPUTF8
[SMTP] DEBUG SMTP: Found extension "SIZE", arg "157286400"
[SMTP] DEBUG SMTP: Found extension "PIPELINING", arg ""
[SMTP] DEBUG SMTP: Found extension "DSN", arg ""
[SMTP] DEBUG SMTP: Found extension "ENHANCEDSTATUSCODES", arg ""
[SMTP] DEBUG SMTP: Found extension "AUTH", arg "LOGIN XOAUTH2"
[SMTP] DEBUG SMTP: Found extension "8BITMIME", arg ""
[SMTP] DEBUG SMTP: Found extension "BINARYMIME", arg ""
[SMTP] DEBUG SMTP: Found extension "CHUNKING", arg ""
[SMTP] DEBUG SMTP: Found extension "SMTPUTF8", arg ""
[SMTP] AUTH XOAUTH2 dXNlcj14Z2F0ZUBv......
[SMTP] 535 5.7.3 Authentication unsuccessful [TY1PR01CA0144.jpnprd01.prod.outlook.com]
```


### 試したこと

いくつか試してみると、Microsoft365で独自にドメインを設定している場合に発生する様な気がします。
オリジナルのドメイン xxxxx.onmicrosoft.com であれば送信もうまくいきます。
Azureポータルでアプリの設定が何か不足しているのでしょうか？
Microsoft365で独自にドメインを設定する場合は他に設定が必要なのでしょうか？

OAuth2 を使ったmicrosoft365メールの送信でエラー 535 5.7.3 Authentication unsuccessful

今回初めて googleAPIのOAuth2.0を使うことになったのですが、
某ソーシャル認証ライブラリーを利用してアタックすると400エラーが出てしまいます。
内容は下記の通り、

Error: redirect_uri_mismatch
Application: ｘｘｘｘｘ
You can email the developer of this application at: ｘｘｘｘ@gmail.com
The redirect URI in the request: **http://xxxx.com/Auth/google/oauth2callback** did not match a registered redirect URI.

**太文字**の部分がgoogle developersの認証情報 設定画面で登録した「リダイレクト URI」
**http://xxxx.com/Auth/callback.php** 
と違うものになってしまっています、developers側を何度書き直しても反映されていません。

他の「facebook」「twiter」では、問題なく認証されますのでライブラリーの設定で間違いがあるとは考えにくいと思います、

調べてみるとgoogleAPIは設定してから稼働までかなり時間がかかる場合もあるとの事なので、時間の問題なのかとも思ったんですが... 
htaccsessで未公開にしていた開発途中のシステムをこの為だけに解放しているので ご経験のある方・またお心当たりのある方..ご教授いただければ幸いです。

宜しくお願い致します。

google oauth2 Error400 リダイレクトURLが登録した物と違う表示に

# state,nonceの保存場所

OAuthやOIDCを調べていてstate,nonceの保存場所について疑問が出てきたので質問させていただきます。

最初にstate,nonceのフォーマットについて調べていたところ、[こちらの「Google nonce max length」という質問の回答](https://stackoverflow.com/questions/69209677/google-nonce-max-length)で下記の回答がありました。(一部抜粋)


> That being said I started digging around in the RFC for OAuth and the only mention I found worth wild would be the following. (My experience with the Google Oauth team says that they like to follow the RFC guidelines as they are accepted industry standard.)
> > 15.5.2. Nonce Implementation Notes The nonce parameter value needs to include per-session state and be unguessable to attackers. One method to achieve this for Web Server Clients is to store a cryptographically random value as an HttpOnly session cookie and use a cryptographic hash of the value as the nonce parameter. In that case, the nonce in the returned ID Token is compared to the hash of the session cookie to detect ID Token replay by third parties. A related method applicable to JavaScript Clients is to store the cryptographically random value in HTML5 local storage and use a cryptographic hash of this value.
>
> The fact that they suggest storing it in a session cookie would then lead to the max limit being at the very least the max size of a session cookie which would give us something like this.
> ![](https://i.stack.imgur.com/57TD6.png)

上記回答ではRFCの資料で`session cookie`で保存することを提案しているので制限がセッションクッキーの最大サイズになると書いてあります。画像は各ブラウザのクッキーの最大サイズなのでセッションクッキーとは別物だと思います。

セッションクッキーはブラウザ側のクッキーにセッションのIDのみを保存して値はサーバー側にセッション変数として保存するもとだと解釈しています。([セッション Cookie の概念](https://www.ibm.com/docs/ja/sva/9.0.2?topic=cookies-session-concepts))

その解釈で進めるとstate,nonceはセッション変数としてデータベースもしくはキャッシュ(Redisなど)に保存されるので回答の画像にあるブラウザのクッキーの最大サイズに依存しないと思います。

それともクッキーにセッションのIDと共にstate,nonceも入れてブラウザが保持するのでブラウザのクッキーの最大サイズに依存するのでしょうか？


state,nonceの保存場所

### 実現したいこと

discord.pyでoauth2を機能させたい

### 前提

discord.pyでoauth2を機能させたいです

### 発生している問題・エラーメッセージ

```
"GET /oauth2_callback?error=invalid_scope&error_description=The+requested+scope+is+invalid,+unknown,+or+malformed. HTTP/1.1" 200 -
```

### 該当のソースコード

```python
from threading import Thread
from flask import Flask, redirect, request, session, url_for
import requests

app = Flask(__name__)

# Discord OAuth2設定
client_id = 'YOUR_CLIENT_ID'
client_secret = 'YOUR_CLIENT_SECRET'
redirect_uri = 'https://localhost:8080/oauth2_callback'
scope = 'identify guilds guilds.member guilds.join'

# セッションシークレットキー
app.secret_key = 'YOUR_ACTUAL_SECRET_KEY'

# Discord OAuth2の認証URL
authorize_url = f'https://discord.com/api/oauth2/authorize?client_id={client_id}&scope={"%20".join(scope)}&redirect_uri={redirect_uri}&response_type=code'

@app.route('/')
def home():
    return "Welcome to your Flask app!"

@app.route('/oauth2_login')
def oauth2_login():
    # Discord OAuth2認証の認証URLにリダイレクト
    return redirect(authorize_url)

@app.route('/oauth2_callback')
def oauth2_callback():
    auth_code = request.args.get('code')

    token_url = 'https://discord.com/api/oauth2/token'
    token_data = {
        'client_id': client_id,
        'client_secret': client_secret,
        'grant_type': 'authorization_code',
        'code': auth_code,
        'redirect_uri': redirect_uri,
    }

    response = requests.post(token_url, data=token_data)
    if response.status_code != 200:
        return "トークン取得に失敗しました。"

    response_data = response.json()
    access_token = response_data.get('access_token')

    # Discord APIを使用してユーザー情報を取得
    user_url = 'https://discord.com/api/v10/users/@me'
    headers = {
        'Authorization': f'Bearer {access_token}',
    }
    user_response = requests.get(user_url, headers=headers)
    if user_response.status_code != 200:
        return "ユーザー情報の取得に失敗しました。"

    user_data = user_response.json()

    # ユーザー情報をコンソールに表示
    print(user_data)

    # ユーザー情報をHTMLで表示または他の処理を行うことができます
    return f"認証成功！ユーザー名: {user_data['username']}"

def run():
    app.run(host='0.0.0.0', port=8080)

def keep_alive():
    t = Thread(target=run)
    t.start()

if __name__ == "__main__":
    keep_alive()

```

### 試したこと

scopeの書き方を
```python
scope = ['bot', 'identify', 'guilds', 'guilds.join']
```
```python
scope = ['identify', 'guilds', 'guilds.member', 'guilds.join']v
```
等の書き方に変えたりしました

### 補足情報（FW/ツールのバージョンなど）
python v3.10.11
discord.py v2.3.2
flask v2.3.3
requests v2.31.0
