常連

### 前提

laravelでtwitterと連携したサービスを開発しています。
OAuth2.0でリフレッシュトークンを取得したいです。

### 実現したいこと

ここに実現したいことを箇条書きで書いてください。
- [ ] PHP上でcurlコマンドを実行してアクセストークンとリフレッシュトークンを取得する

### 発生している問題・エラーメッセージ

```
string(89) "{"error":"invalid_request","error_description":"Value passed for the token was invalid."}"
```

### 該当のソースコード

```PHP
            $code = htmlspecialchars($_GET["code"]);
            $client_id = config('twitterToken.client_id');
            $ch = curl_init();

            curl_setopt($ch, CURLOPT_URL, 'https://api.twitter.com/2/oauth2/token?code='.$code.'&grant_type=authorization_code&client_id='.$client_id.'&code_verifier=challenge');
            curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
            curl_setopt($ch, CURLOPT_POST, 1);
            curl_setopt($ch, CURLOPT_USERPWD, $client_id . ':' . config('twitterToken.client_secret'));

            $headers = array();
            $headers[] = 'Content-Type: application/x-www-form-urlencoded';
            curl_setopt($ch, CURLOPT_HTTPHEADER, $headers);

            $result = curl_exec($ch);
            if (curl_errno($ch)) {
                echo 'Error:' . curl_error($ch);
            }
            curl_close($ch);

```

### 試したこと

Macbookのターミナルで以下のcurlコマンドを実行したところ
トークンが返ってきました

```curl
curl --location --request POST 'https://api.twitter.com/2/oauth2/token' \
--header 'Content-Type: application/x-www-form-urlencoded' \
--basic -u "client_id:client_secret" \
--data-urlencode "code=コールバックURLから取得" \
--data-urlencode 'grant_type=authorization_code' \
--data-urlencode "client_id=client_id" \
--data-urlencode 'redirect_uri=http://127.0.0.1:8000/OAuthCallback' \
--data-urlencode 'code_verifier=challenge'
```

### 補足情報（FW/ツールのバージョンなど）

Laravel v8.83.23 
PHP v7.4.18


php7でcurlコマンドを実行したい

### 前提

GASでAmazonSP-APIと連携している、スプレッドシートがあります。
これを、スプレッドシートをコピーしてそのまま配布しても同様に動作するようにしたいです。

しかし、SPAPIの認証方法（利用者セラーからアプリケーションへの認可）で詰まっている状態で、
[認証ワークフロー](https://github.com/amzn/selling-partner-api-docs/blob/main/guides/ja-JP/developer-guide/SellingPartnerApiDeveloperGuide(%E6%97%A5%E6%9C%AC%E8%AA%9E).md#%E3%82%A6%E3%82%A7%E3%83%96%E3%82%B5%E3%82%A4%E3%83%88%E3%83%AF%E3%83%BC%E3%82%AF%E3%83%95%E3%83%AD%E3%83%BC)からすると、下記2点により難しいのではないかと考えています。
①複製後のスプレッドシートは最初Webアプリとしてデプロイされていないため、認証完了後のリダイレクトを受けられない
②リダイレクトURIが用意できたとしても、それをセラーセントラルのアプリケーション登録画面から設定しなければならない
→①は手順追加で対応できますが、②は運用上現実的ではない状態です


### 実現したいこと


コピー後も認証フローを完了させられるようなスプレッドシートにしたいので、
そのための仕組みづくりが可能であれば教えていただきたいです。
（セラーセントラルのアプリ登録でリダイレクトURIはこれにする、リダイレクト用アプリを用意する、設定するstateパラメータはこれにする等）
コピー後スプレッドシートに対しての個別設定は、Webアプリデプロイの操作のみ許容できます。

### 発生している問題・エラーメッセージ
単純にスプレッドシートをコピーしたもので認証しようとすると、
「SP-APIを承認」画面のConfirm後に下記メッセージが表示されます。

```
問題が発生しました
無効なリダイレクトURLを受信しました。使用されたリダイレクトURLを確認してください。

Amazonテクニカルサポートに連絡して、以下の情報をお知らせください。

App ID: amzn1.sp.solution.XXX
Error Code: MD5101
```

### 該当のソースコード

```javascript
AUTH_ENDPOINT = 'https://XXX';
TOKEN_ENDPOINT = 'https://YYY';
CLIENT_ID = 'AAA';
CLIENT_SECRET = 'BBB';
APP_ID = 'CCC';

// OAuth2ライブラリ使用
function getService() {
  // OAuth 2.0承認サービスの生成
  return OAuth2.createService('spapi')

    .setAuthorizationBaseUrl(AUTH_ENDPOINT)   // 認可エンドポイント
    .setTokenUrl(TOKEN_ENDPOINT)              // トークンエンドポイント

    .setClientId(CLIENT_ID) // OAuthクライアントID
    .setClientSecret(CLIENT_SECRET) // OAuthクライアントシークレット

    .setParam('application_id', APP_ID)
    .setParam('version', 'beta')

    // OAuth2.0 承認後のコールバック関数名の設定
    .setCallbackFunction('authCallback')

    // 承認トークンを維持するプロパティーストアの設定
    .setPropertyStore(PropertiesService.getUserProperties())
}

/**
 * 最初のOAuth2承認の際のコールバック処理
 */
function authCallback(request) {
  var service = getService();
  // トークン取得用にパラメータを追加
  request.parameter['code'] = request.parameter.spapi_oauth_code;

  var authorized = service.handleCallback(request);
  if (authorized) {
    service.getAccessToken();
    return HtmlService.createHtmlOutput(`認証に成功しました。`);
  }
  return HtmlService.createHtmlOutput('認証に失敗しました。処理をやり直してください。');
}

/**
 * 認証用ダイアログ（html）表示
 * セラーセントラルの認証URLへリンクさせる
 */
function showDialog(){
  const service = getService();
  const url = service.getAuthorizationUrl();
  const tag_text = `<button type="button" class="btn btn-primary" onclick="window.open('${url}')">セラーセントラルで認証する</button>`;
  const html = HtmlService.createHtmlOutput(tag_text);
  SpreadsheetApp.getUi().showModalDialog(html, "認証ダイアログ");
}
```

```
//セラーセントラルのアプリ登録画面「OAuthリダイレクトURI」
https://script.google.com/macros/d/{コピー元スプレッドシートのスクリプトID}/usercallback
```

複製したGASで、AmazonSPAPIの認可フローを完了する

# state,nonceの保存場所

OAuthやOIDCを調べていてstate,nonceの保存場所について疑問が出てきたので質問させていただきます。

最初にstate,nonceのフォーマットについて調べていたところ、[こちらの「Google nonce max length」という質問の回答](https://stackoverflow.com/questions/69209677/google-nonce-max-length)で下記の回答がありました。(一部抜粋)


> That being said I started digging around in the RFC for OAuth and the only mention I found worth wild would be the following. (My experience with the Google Oauth team says that they like to follow the RFC guidelines as they are accepted industry standard.)
> > 15.5.2. Nonce Implementation Notes The nonce parameter value needs to include per-session state and be unguessable to attackers. One method to achieve this for Web Server Clients is to store a cryptographically random value as an HttpOnly session cookie and use a cryptographic hash of the value as the nonce parameter. In that case, the nonce in the returned ID Token is compared to the hash of the session cookie to detect ID Token replay by third parties. A related method applicable to JavaScript Clients is to store the cryptographically random value in HTML5 local storage and use a cryptographic hash of this value.
>
> The fact that they suggest storing it in a session cookie would then lead to the max limit being at the very least the max size of a session cookie which would give us something like this.
> ![](https://i.stack.imgur.com/57TD6.png)

上記回答ではRFCの資料で`session cookie`で保存することを提案しているので制限がセッションクッキーの最大サイズになると書いてあります。画像は各ブラウザのクッキーの最大サイズなのでセッションクッキーとは別物だと思います。

セッションクッキーはブラウザ側のクッキーにセッションのIDのみを保存して値はサーバー側にセッション変数として保存するもとだと解釈しています。([セッション Cookie の概念](https://www.ibm.com/docs/ja/sva/9.0.2?topic=cookies-session-concepts))

その解釈で進めるとstate,nonceはセッション変数としてデータベースもしくはキャッシュ(Redisなど)に保存されるので回答の画像にあるブラウザのクッキーの最大サイズに依存しないと思います。

それともクッキーにセッションのIDと共にstate,nonceも入れてブラウザが保持するのでブラウザのクッキーの最大サイズに依存するのでしょうか？


state,nonceの保存場所

### 前提・実現したいこと
node.js 上の nodemailer で OAuth 2.0 を使って gmail からメールを送る為に「ClientID」「Client secret」「Refresh token」を取得したいのですが、途中で承認エラー403: access_deniedが出てしまいました。
エラーの解決方法を教えて頂きたいです。よろしくお願いします。


[https://gist.github.com/neguse11/bc09d86e7acbd6442cd4](https://gist.github.com/neguse11/bc09d86e7acbd6442cd4)
を参考に「ClientID」「Client secret」「Refresh token」取得を進めています。
「Client ID」と「Client secret」は取得出来ました。

[https://developers.google.com/oauthplayground](https://developers.google.com/oauthplayground)
で、「Step 1」の下部にある「Input your own scopes」に「https://mail.google.com/」を入力し「Authorize APIs」を押すと【アカウントの選択】画面になります。そこに表示されている該当のアカウントを選択すると、承認エラーがでます。


### 発生している問題・エラーメッセージ

```
エラー 403: access_denied
The developer hasn’t given you access to this app. It’s currently being tested and it hasn’t been verified by Google. If you think you should have access, contact the developer (●●●@gmail.com).

リクエストの詳細
access_type=offline
response_type=code
redirect_uri=https://developers.google.com/oauthplayground
prompt=consent
flowName=GeneralOAuthFlow
client_id=●●●.com
scope=https://mail.google.com/
```

### 補足情報（FW/ツールのバージョンなど）
macOS Big Sur バージョン11.0.1

Google認証エラー 403: access_deniedを解決したい

■アプリケーション構成
①Salesforce
　↓  ※リンクで呼び出し
②Webアプリ(SpringBoot)

■背景
※Salesforce=①、Webアプリ=②

ユーザーはまず①にログインした後、画面内リンクを押下することで②を呼び出します。
②の認証はOAuth2となっており、処理の中でSalesforceAPIを呼び出しています。
※①アクセス時に認証済みとなっているため、基本的に②アクセス時は認証済みとされログイン画面には遷移しない（SSO）

元々、①の入り口は１つ(一般ユーザーが利用する一般的なSalesforceの画面 : ①-aとする)だったため、
②は下記に記載した実装内容で問題なく動作（認証⇨API実行）していたのですが、
①の入り口がもう一つ（ログイン画面も上記とは異なるExperience Cloudサイト:①-bとする)増えました。
その結果、①-aから②にアクセスした時は認証済みとして②の画面が表示されるが、①-bから②にアクセスした場合、未認証としてログイン画面に遷移するようになりました。
（ただし、②に設定しているOAuth認証情報等は①-a用のため、遷移先のログイン画面は①-aのものが表示される)

■実現したいこと
②での認証において、①-a、①-bどちらからアクセスされたか判別し、OAuth認証エンドポイント等
を切り替えたい（＝どちらから来てもSSOしたい）
※どちらからのアクセスかは②呼び出し時のパラメータで判別可能

■Webアプリ内の認証処理
・OAuth2 Autoconfigを利用

■現状の実装
[pom.xml]
``` pom.xml
<dependency>
    <groupId>org.springframework.security.oauth.boot</groupId>
    <artifactId>spring-security-oauth2-autoconfigure</artifactId>
    <version>2.1.4.RELEASE</version>
</dependency>
```

[設定ファイル]
``` applition.properties
security.oauth2.client.client-authentication-scheme = form
security.oauth2.client.authentication-scheme = header
security.oauth2.client.grant-type = autorization_code
security.oauth2.client.access-token-uri = https://login.salesforce.com/services/oauth2/token
security.oauth2.client.user-authorization-uri = https://login.salesforce.com/services/oauth2/authorize
security.oauth2.resource.user-info-uri = https://login.salesforce.com/services/oauth2/userinfo
```

[②のエントリポイントでのBean定義]
``` Java
@Bean
public OAuth2RestTemplate oauth2RestTemplate(OAuth2ClientContext oauth2ClientContext,
        OAuth2ProtectedResourceDetails details) {
    return new OAuth2RestTemplate(details, oauth2ClientContext);
}
```


■現状調査してわかっていること
・サーバー起動時に上記Bean処理(oauth2RestTemplateのインスタンス作成)が実施されており、
①からのアクセス時には実行されていない。
・上記oauth2RestTemplateインスタンスには、OAuth2認証に必要な情報がセットされている
・上記エントリポイントに記載したBean定義を消すとサーバーは起動しない(oauth2-autoconfig導入時は必須と認識)
・application.propertiesのOAuth認証情報を、①-b用の情報に書き換えた上で、①-bからアクセスした場合はSSOに成功するが、①-aからアクセスした場合はログイン画面(①-b用)が表示される。

■質問
・今回やりたいことはアクセス元から渡されるパラメータを元にOAuth認証に必要な各種エンドポイントを切り替え、アクセス元が単独だった時と同様、認証通過（SSO）し、API呼び出しされることですが、
今回の構成で実現は可能でしょうか？
※OAuth2RestTemplateはサーバー起動時に生成されているため、外部からのアクセス時に切り替えることができないのでは？？

・今回の方法を実現できるとしたら、"filterChain"を作成、Bean登録し適切な処理を記載することだと
　考えていますがいかがでしょうか。
　このように実装すればいけるというのがあればご教示いただきたいです。


Java(SpringBoot)アプリにおいて、アクセス経路に従ってOAuth2認証先(エンドポイント)を切り替えたい

### 前提
定期的に自分のOffice365アカウントの受信ボックス内のメッセージをチェックするJavaアプリを作成しています。
定期実行されるバックグランドアプリなので、シークレットキーみたいなものを持たせておいて、ユーザーの認証操作無しに実行できるようにしたいです。
ちなみに会社のAzureAD内に私のアカウントがあります。

### 実現したいこと
ほぼ以下のチュートリアル（オプションまで含めて）通りに実装しました。
https://learn.microsoft.com/en-us/graph/tutorials/java?tabs=aad&tutorial-step=1
変更点は以下の通りです。
* APIのアクセス許可として「Mail.Read」を割り当てる
* _userClient.me()ではなく_appClient.users().byId("私のuserPrincipalName")を使ってメールを取得する。
これでメールを取得することはできたのですが、困ったことに「Mail.Read」の権限の範囲が「AzureAD内のすべてのユーザーのメールを読む権限」のようで、私以外の社員のメールも読める状態になっています。
このアプリケーションに、私のメールへのアクセス権だけを与える方法はないのでしょうか？

よろしくお願いいたします。

Office365アカウントのメールをJavaアプリでユーザー認証なしにチェックする方法を知りたいです。

今回初めて googleAPIのOAuth2.0を使うことになったのですが、
某ソーシャル認証ライブラリーを利用してアタックすると400エラーが出てしまいます。
内容は下記の通り、

Error: redirect_uri_mismatch
Application: ｘｘｘｘｘ
You can email the developer of this application at: ｘｘｘｘ@gmail.com
The redirect URI in the request: **http://xxxx.com/Auth/google/oauth2callback** did not match a registered redirect URI.

**太文字**の部分がgoogle developersの認証情報 設定画面で登録した「リダイレクト URI」
**http://xxxx.com/Auth/callback.php** 
と違うものになってしまっています、developers側を何度書き直しても反映されていません。

他の「facebook」「twiter」では、問題なく認証されますのでライブラリーの設定で間違いがあるとは考えにくいと思います、

調べてみるとgoogleAPIは設定してから稼働までかなり時間がかかる場合もあるとの事なので、時間の問題なのかとも思ったんですが... 
htaccsessで未公開にしていた開発途中のシステムをこの為だけに解放しているので ご経験のある方・またお心当たりのある方..ご教授いただければ幸いです。

宜しくお願い致します。

google oauth2 Error400 リダイレクトURLが登録した物と違う表示に

認証付きSPAを作ろうと考えている初心者です。
知識・技術が浅く、見当違いなことを言っているかもしれませんが教えて下さい。
今ReactでSPAを作成しています。
そして、このSPAに誰でもアクセスできるようにするのではなく、アカウントを持っているユーザだけがアクセスできるようにしたいと考えています。つまりログイン画面を設けたいと思っています。

ただ認証周りの知識が疎いため、Azure ADを用いて認証しようと考えています。
そして調べていたら、MicroSoftの公式ドキュメントにSPAとAzureADを用いたサンプルがありました。
ただ、このサンプルはGraph APIのアクセストークンを取得し、ADのユーザデータを取りに行く、といったものでした。
このアクセストークンを取る、というステップをSPAへのアクセストークンを取得する、にしたいのですが、その場合、SPAを保護するAPIを独自に選定する必要があるのでしょうか。AzureADへのアクセスはGraphAPIで保護されていると思うのですが、SPAはどうしたらいいのかわかりません。初歩的なことですが、教えて下さい。
