PFOS のアプリをつなぐ（OpenID Connect）

pfos-ID は、OpenID Connect と OAuth 2.1 の認可サーバーです。PFOS のアプリは、標準のライブラリでつなげます。

住所

発行者（issuer）

https://id.pfos.school

OIDC の案内

https://id.pfos.school/.well-known/openid-configuration

認可

https://id.pfos.school/oauth2/authorize

トークン

https://id.pfos.school/oauth2/token

署名鍵（JWKS）

https://id.pfos.school/oauth2/jwks

UserInfo

https://id.pfos.school/oauth2/userinfo

ログアウト

https://id.pfos.school/oauth2/end-session

ほかの住所と、使える方式は、OIDC の案内に書いてあります。

つなぐ手順

1. 運営者に、連携アプリの登録を頼みます。PFOS のアプリは、同意の画面を出さずにログインできます。
2. アプリで ES256 の鍵を作ります。秘密鍵はアプリのシークレットに入れ、公開鍵（JWK）を運営者に登録してもらいます（private_key_jwt）。
3. ログインのときは、/oauth2/authorize に response_type=code、code_challenge（S256）、state、nonce、scope=openid profile を付けて送ります。
4. 戻ってきたら、iss と state を確かめてから、/oauth2/token でコードをトークンに換えます。
5. IDトークンを /oauth2/jwks の鍵で検証し、iss、aud、exp、nonce を確かめます。
6. 利用者は sub で見分けます。preferred_username（@ID）と email は変わることがあります。
7. 必要なら backchannel_logout_uri を用意します。ログアウトトークンを受け取ったら、アプリのセッションを消します。

決まり

• ログインに使えるのは、認可コードと PKCE（S256）の組み合わせだけです。
• 戻り先（redirect_uri）は、登録したものと完全に同じでなければ使えません。
• ブラウザやスマホの中だけで動くアプリは、鍵を持たない公開クライアント（none）にします。PKCE は必須です。client_secret は使えません。

使える権限（スコープ）