フルスクラッチして理解するOpenID Connect (4) stateとnonce編 - エムスリーテックブログ

こんにちは。デジカルチームの末永(asmsuechan)です。この記事は「フルスクラッチして理解するOpenID Connect」の4記事目です。前回はこちら。 www.m3tech.blog 13 state の実装 14 nonce の実装 15 まとめ 16 参考 Wre're hiring! 今回は全4回中の第4回目です。 (1) 認可エンドポイント編 (2) トークンエンドポイント編 (3) JWT編 (4) stateとnonce編 13 state の実装 https://openid-foundation-japan.github.io/rfc6819.ja.html#anchor15 https://openid-foundation-japan.github.io/rfc6749.ja.html#CSRF state は OAuth 由来の仕様です。つまりアクセストーク

[ritou]

仕様上、stateはCSRF対策でありセッションで一意、nonceはリプレイ対策であり認可(認証)リクエスト毎に一意にするような定義であることを覚えておきましょう。