常連

OAuth2を勉強している者です。
「認可コードグラント」のアクセス**トークンを取得するまでの部分**がどうしても分かりません。
的外れな質問してたらすみません。

![イメージ説明](2210a970ed5e2bbdc82182dc33184f88.jpeg)



下の図で言うと、１～１１に当たります。

###分からない点
クライアントの認可リクエストに対して、直接アクセストークンを渡さずに認可コードを返し、クライアントは認可コードと一緒にアクセストークンをリクエストします。

**なぜこのような二度手間の仕組みになっているのでしょうか？**

アクセストークンを守るためでしょうか？
でも待って下さい。
認可コードは盗まれても、有効期限が標準10分程度に設定されているため安全とのことです。
それなら最初からアクセストークンを10分にすれば良いのではないでしょうか？
それじゃダメな理由が分かりません・・・。

分かる方どうか教えて下さい。
宜しくお願い致します。

【OAuth2】認可コードグラントにおいて、直接アクセストークンを介さず最初に認可コードを介す理由が分かりません

### 実現したいこと

- [ ] OAuthを利用したメールの送信が行えるようにする

### 前提

先週、特定条件でメールを送信するために、
Google Cloudのクライアント認証サービス(OAuth)を利用して、
Pythonでメール送信を行うプログラミングの開発を行いました。
そこで、プログラム再起動を含めても五日間正常に動いていることを確認しました。

しかし今週に入ってから、メールの送信が行えなくなっていることを確認いたしました。
こちらの原因と解決方法をご教授いただきたく存じます。

### 発生している問題・エラーメッセージ

```
535, b'5.7.8 Username and Password not accepted. Learn more at\n5.7.8  https://support.google.com/mail/?p=BadCredentials 7-20020aa79207000000b0065418efa5ebsm4180596pfo.155 - gsmtp', '[メールアドレス]'
```

### 該当のソースコード

```Python
import yagmail

try:
    # Gmailからメールを送信
    yag = yagmail.SMTP('[送信元メールアドレス]', oauth2_file='oauth2_creds.json')
    yag.send('[受信先メールアドレス]', 'Title', 'Mail')
except Exception as e:
    print("エラーが発生しました:", str(e))
    # ユーザーがエンターキーを押すまで実行を停止する
    input("Press Enter to continue...")
```

```json
{
    "google_client_id": "[クライアントID]",
    "google_client_secret": "[クライアントシークレット]",
    "google_refresh_token": "[リフレッシュトークン]"
}
```

### 試したこと

0. Googleのアカウント認証が解除されていたので、再度認証しリフレッシュトークンを取得しました。解除操作を行った記憶はございません。
0. リフレッシュトークンが合っていることを確認しました。
0. 二段階認証が無効になっていることを確認しました。
0. yagmailのアップデートを行いました。


PythonスクリプトのGmail OAuth2認証エラー(535)が突然出るようになった現象を解決したい

### 実現したいこと

Twitter API v2を使ってログインユーザーがツイートを投稿できるようにしたいです。

### 前提

フロント：Next.js
バック　：Next.js (API)
DB　　 ：MongoDB
アダプター：Prisma
認証　　　：Next-auth
投稿ライブラリ：twitter-api-v2

### 発生している問題・エラーメッセージ

```
ApiResponseError: Request failed with code 401が発生し、投稿できません。
セッションに正しくアクセストークンが入っていることは確認済みです。
```

### 該当のソースコード

```投稿
import { TwitterApi } from "twitter-api-v2";
import type { NextApiRequest, NextApiResponse } from "next";
import { getServerSession } from "next-auth/next";
import { authOptions } from "./auth/[...nextauth]";

export default async (req: NextApiRequest, res: NextApiResponse) => {
  if (req.method !== "POST") {
    res.status(405).json({ error: "Method not allowed" });
    return;
  }

  const session = await getServerSession(req, res, authOptions);

  if (!session) {
    res.status(401).json({ error: "Not authenticated" });
    return;
  }

  if (!process.env.TWITTER_API_KEY || !process.env.TWITTER_API_SECRET_KEY) {
    throw new Error("Twitter keys are not set in environment variables.");
  }

  console.log("session.user:");
  console.log(session.user.access_token);

  try {
    const client = new TwitterApi(session.user.access_token);

    // Post tweet
    const response = await client.v2.tweet("test");
    console.log("response:");
    console.log(response);

    res.status(200).json({ message: "Tweet posted successfully" });
  } catch (error) {
    console.error(error);
    res.status(500).json({ error: "Error posting tweet", details: error });
  }
};
```

```認証
import NextAuth from "next-auth";
import TwitterProvider from "next-auth/providers/twitter";
import { PrismaAdapter } from "@next-auth/prisma-adapter";
import { PrismaClient } from "@prisma/client";
import { NextAuthOptions } from "next-auth";

const prisma = new PrismaClient();

const authOptions = {
  providers: [
    TwitterProvider({
      // clientId: process.env.TWITTER_API_KEY,
      // clientSecret: process.env.TWITTER_API_SECRET_KEY,
      // version: "1.0a",
      clientId: process.env.TWITTER_API_KEY,
      clientSecret: process.env.TWITTER_API_SECRET_KEY,
      version: "2.0",
      authorization: {
        params: { scope: "users.read tweet.write tweet.read offline.access" },
      },
    }),
  ],
  adapter: PrismaAdapter(prisma),
  callbacks: {
    async signIn(user) {
      console.log("---ここから---");
      // console.log(user.account)
      // console.log(user.user);

      return true;
    },
    async session({ session, user, token }) {
      const additionalData = await prisma.account.findUnique({
        where: { userId: user.id },
      });
      console.log("additionalData:");
      console.log(additionalData);

      session.user.id = user.id;
      session.user.themes = user.themes;
      session.user.access_token = additionalData.access_token;
      // session.user.access_token_secret = additionalData.access_token_secret;
      session.user.refresh_token = additionalData.refresh_token;

      return Promise.resolve(session);
    },
  },
};

export default NextAuth(authOptions);
export { authOptions };

```


### 試したこと

 const client = new TwitterApi(session.user.access_token);
にAPI、API_SECRETを設定したりしてもダメでした。

### 補足情報（FW/ツールのバージョンなど）

ここにより詳細な情報を記載してください。


Twitter API v2を使ってログインユーザーがツイートを投稿できるようにしたいです。

サービスにlogin処理を実装しています。
認可サーバから得たaccces tokenとid tokenはサーバー、クライアントどちらに保存したほうが良いのでしょうか？
どちらでも良いのでしょうか？

access tokenとid tokenはどこに保存したら良いのでしょうか

### 前提・実現したいこと
node.js 上の nodemailer で OAuth 2.0 を使って gmail からメールを送る為に「ClientID」「Client secret」「Refresh token」を取得したいのですが、途中で承認エラー403: access_deniedが出てしまいました。
エラーの解決方法を教えて頂きたいです。よろしくお願いします。


[https://gist.github.com/neguse11/bc09d86e7acbd6442cd4](https://gist.github.com/neguse11/bc09d86e7acbd6442cd4)
を参考に「ClientID」「Client secret」「Refresh token」取得を進めています。
「Client ID」と「Client secret」は取得出来ました。

[https://developers.google.com/oauthplayground](https://developers.google.com/oauthplayground)
で、「Step 1」の下部にある「Input your own scopes」に「https://mail.google.com/」を入力し「Authorize APIs」を押すと【アカウントの選択】画面になります。そこに表示されている該当のアカウントを選択すると、承認エラーがでます。


### 発生している問題・エラーメッセージ

```
エラー 403: access_denied
The developer hasn’t given you access to this app. It’s currently being tested and it hasn’t been verified by Google. If you think you should have access, contact the developer (●●●@gmail.com).

リクエストの詳細
access_type=offline
response_type=code
redirect_uri=https://developers.google.com/oauthplayground
prompt=consent
flowName=GeneralOAuthFlow
client_id=●●●.com
scope=https://mail.google.com/
```

### 補足情報（FW/ツールのバージョンなど）
macOS Big Sur バージョン11.0.1

Google認証エラー 403: access_deniedを解決したい

ウェブサービスのログイン機能で連携するOAuthサービスプロバイダはどうやって選べばよいでしょうか？
例えばteratailであればGoogle、Facebook、Twitter、Github、Hatenaと5つ有ります。
選び方について明確に説明されている記事を見つけられませんでした。



OAuthサービスプロバイダの選び方

※11/4に起票した質問ですが、11/5にさらに追記しました。追記部分は【11/5追記】と書いています。よろしくおねがいします。

AWSを使ってWebアプリケーションを開発しています。
Cognitoを使ってGoogleソーシャルログインを装備しようとしています。
以下のドキュメントに従って作業しています。

https://aws.amazon.com/jp/premiumsupport/knowledge-center/cognito-google-social-identity-provider/

現状でつまづいているのは「エンドポイントURLをテストする」で「An error was encountered with the requested page.」というエラーが出ています。

以下、ドキュメントをなぞる形になりますが、行った作業を詳述します。

### 環境
EC2＋nginx＋Route53＋ALB＋GCMで、https://www.example.comでALB経由でEC2上のDocumentRoot/index.htmlが見える状態にしました。
作業はすべてChromeブラウザーで行い、開発兼テストユーザーとなるGoogleアカウントでログインしている状態です。

### Cognito側の設定（１）
- **ユーザープールの作成**を行い、以下の設定を行いました。
必須の属性＝email
ユーザー名属性＝email

- **アプリクライアントの作成**を行い、アプリクライアントIDを得ました。以下のように設定しました。
シークレットキーあり
SRP認証オフ
【11/5追記】最初は上記のドキュメントにならって「シークレットキーなし」にしていましたが、そうすると後でHTTPSリスナールールの認証に追加できないのでありで再作成しました。

- **アプリクライアントの設定**において、以下のように設定しました。
有効なIDプロバイダー＝Cognito Userをオン
コールバックURL＝https://www.example.com
サインアウトURL＝なし
許可されているOAuthフロー＝Authorization code grant＋Implicit grant
許可されているOAuthスコープ＝email openid profile

- **ドメイン名の追加**を行いました。
Amazon Cognito ドメインの使用を選択
プレフィックスとしてexampleを選びました。
ドメイン名は以下のようになりました。
https://example.auth.ap-northeast-1.amazoncognito.com

### GCP側の設定
- **GCPプロジェクトの作成、OAuthの同意画面の設定**
承認済みドメインにamazoncognito.comを追加を行いました。

- **OAuth2.0クライアントの作成**
ウェブアプリケーションとして作成しました。
- **承認済みの JavaScript 生成元**として、以下を設定しました。
https://example.auth.ap-northeast-1.amazoncognito.com
- **承認済みのリダイレクト URI**として、以下を設定しました。
https://example.auth.ap-northeast-1.amazoncognito.com/oauth2/idpresponse
- 設定を保存し、クライアントIDとクライアントシークレットを得ました。

### Cognito側の設定（２）
- **フェデレーション＞IDプロバイダーの設定**
Googleを選択し、以下のように設定してGoogleの更新をクリックしました。
Google アプリ IDとして、GCP画面のクライアントIDを設定
アプリシークレットとして、GCP画面のクライアントシークレットを設定
承認スコープ＝email openid profile

- **属性マッピング**で、emailのユーザープール属性Emailのキャプチャを設定しました。

- **アプリクライアントの設定**で、以下のように設定しました。
有効なIDプロバイダ＝Googleを追加

### 【11/4追記】ALBの設定
本来下のUIのテストを行ってから行う作業かと思いますが、ALBのHTTPSのリスナーにルールを追加しました。
HTTPS 443:デフォルトアクションに、もともとEC2のターゲットグループへの転送が入っていましたが、そこに「認証」アクションの追加を行いました。
- 認証: Amazon Cognito
- Cognitoユーザープール：唯一のユーザープール
- アプリクライアント：唯一のアプリクライアント
- スコープ：openid email profile
- 他の項目：デフォルトのまま


### テスト
- **ホストされたUIを起動**をクリックしました。
GoogleアイコンとともにContinue with Googleボタンが表示されますが、ボタンをクリックすると、「An error was encountered with the requested page.」と表示されます。
- URLは「https://example.auth.ap-northeast-1.amazoncognito.com/error?error=redirect_mismatch&client_id=CognitoのクライアントID」です。
- 上記の「ALBの設定」で加えたHTTPSのリスナールール「認証」を外すと、Googleアイコンをクリックすると正常にhttps://www.example.comが表示されました。
- しかし、この状態では、ブラウザーからhttps://www.example.comにアクセスすると、当然ながらWebが正常に表示されます。
- この時点で、上記の「ALBの設定」のようにリスナールール「認証」をつけてみました。
- その状態で、https://www.example.comにアクセスすると、上記と同様のエラーになります。

### 質問
上記の状態をフィックスして、https://www.example.comにアクセスすると、Google認証が行われ、Webサイトにアクセスが正常に進むようにするには、どうしたらいいでしょうか。

【追記あり】AWS：Cognito＋Google認証でエラー

### 前提・実現したいこと
OAuth2で Microsoft365のメールの送受信を行いたいのです。
アプリはjavaで開発しています。

Azureポータルでアプリの登録を行い、アクセス許可には以下の様に追加しています。

- IMAP.AccessAsUser.All
- offline_access
- openid
- SMTP.Send
- User.Read

スコープには以下を設定しています。
- openid
- offline_access
- https://outlook.office.com/IMAP.AccessAsUser.All
- https://outlook.office.com/SMTP.Send

Microsoft365では独自ドメインを設定しています(xxxxx.onmicrosoft.com ではありません)。
Azureポータルのアプリの設定で何か不足しているのでしょうか？
Microsoft365で独自にドメインを設定する場合は他に設定が必要なのでしょうか？

### 発生している問題・エラーメッセージ

アクセストークンの取得、ユーザー認証、メールの受信は問題なくできています。
ですが、送信する際に認証エラー

__535 5.7.3 Authentication unsuccessful__

が発生します。

ログは以下の通りです。
```shell
[SMTP] DEBUG: getProvider() returning javax.mail.Provider[TRANSPORT,smtp,com.sun.mail.smtp.SMTPTransport,Oracle]
[SMTP] DEBUG SMTP: useEhlo true, useAuth false
[SMTP] DEBUG SMTP: trying to connect to host "smtp.office365.com", port 587, isSSL false
[SMTP] 220 TY1PR01CA0144.outlook.office365.com Microsoft ESMTP MAIL Service ready at Tue, 28 Jul 2020 07:00:18 +0000
[SMTP] DEBUG SMTP: connected to host "smtp.office365.com", port: 587
[SMTP] EHLO host.example.com
[SMTP] 250-TY1PR01CA0144.outlook.office365.com Hello [106.159.156.75]
[SMTP] 250-SIZE 157286400
[SMTP] 250-PIPELINING
[SMTP] 250-DSN
[SMTP] 250-ENHANCEDSTATUSCODES
[SMTP] 250-STARTTLS
[SMTP] 250-8BITMIME
[SMTP] 250-BINARYMIME
[SMTP] 250-CHUNKING
[SMTP] 250 SMTPUTF8
[SMTP] DEBUG SMTP: Found extension "SIZE", arg "157286400"
[SMTP] DEBUG SMTP: Found extension "PIPELINING", arg ""
[SMTP] DEBUG SMTP: Found extension "DSN", arg ""
[SMTP] DEBUG SMTP: Found extension "ENHANCEDSTATUSCODES", arg ""
[SMTP] DEBUG SMTP: Found extension "STARTTLS", arg ""
[SMTP] DEBUG SMTP: Found extension "8BITMIME", arg ""
[SMTP] DEBUG SMTP: Found extension "BINARYMIME", arg ""
[SMTP] DEBUG SMTP: Found extension "CHUNKING", arg ""
[SMTP] DEBUG SMTP: Found extension "SMTPUTF8", arg ""
[SMTP] STARTTLS
[SMTP] 220 2.0.0 SMTP server ready
[SMTP] EHLO host.example.com
[SMTP] 250-TY1PR01CA0144.outlook.office365.com Hello [106.159.156.75]
[SMTP] 250-SIZE 157286400
[SMTP] 250-PIPELINING
[SMTP] 250-DSN
[SMTP] 250-ENHANCEDSTATUSCODES
[SMTP] 250-AUTH LOGIN XOAUTH2
[SMTP] 250-8BITMIME
[SMTP] 250-BINARYMIME
[SMTP] 250-CHUNKING
[SMTP] 250 SMTPUTF8
[SMTP] DEBUG SMTP: Found extension "SIZE", arg "157286400"
[SMTP] DEBUG SMTP: Found extension "PIPELINING", arg ""
[SMTP] DEBUG SMTP: Found extension "DSN", arg ""
[SMTP] DEBUG SMTP: Found extension "ENHANCEDSTATUSCODES", arg ""
[SMTP] DEBUG SMTP: Found extension "AUTH", arg "LOGIN XOAUTH2"
[SMTP] DEBUG SMTP: Found extension "8BITMIME", arg ""
[SMTP] DEBUG SMTP: Found extension "BINARYMIME", arg ""
[SMTP] DEBUG SMTP: Found extension "CHUNKING", arg ""
[SMTP] DEBUG SMTP: Found extension "SMTPUTF8", arg ""
[SMTP] AUTH XOAUTH2 dXNlcj14Z2F0ZUBv......
[SMTP] 535 5.7.3 Authentication unsuccessful [TY1PR01CA0144.jpnprd01.prod.outlook.com]
```


### 試したこと

いくつか試してみると、Microsoft365で独自にドメインを設定している場合に発生する様な気がします。
オリジナルのドメイン xxxxx.onmicrosoft.com であれば送信もうまくいきます。
Azureポータルでアプリの設定が何か不足しているのでしょうか？
Microsoft365で独自にドメインを設定する場合は他に設定が必要なのでしょうか？