oauth-oidc-misconfiguration

SKILL: OAuth と OIDC の設定ミス — リダイレクト、PKCE、スコープ、トークンのバインド

AI LOAD INSTRUCTION: 対象が OAuth 2.0 または OpenID Connect を使用しており、設定ミスに焦点を当てたチェックリスト（リダイレクト URI の検証、state と nonce の処理、PKCE の強制、トークンの対象者、アカウントのバインドミス）が必要な場合に、このスキルを使用してください。

1. このスキルを読み込むタイミング

次の場合に読み込みます。

• アプリが Login with Google、GitHub、Microsoft、Okta、その他の IdP に対応している
• authorize、callback、redirect_uri、code、state、nonce、または code_challenge が見られる
• モバイルまたは SPA クライアントが OAuth または OIDC フローに依存している

トークンの暗号化と JWT ヘッダーの悪用については、こちらも読み込みます。

• jwt oauth token attacks

2. 重要度の高い設定ミスのチェック項目

テーマ	確認事項
state の処理	欠落している、固定値または予測可能な値である、ユーザーセッションにバインドされていない
redirect_uri の検証	プレフィックス一致、オープンリダイレクトの連鎖、パスの混同、localhost の残存
PKCE	パブリッククライアントで欠落している、コードベリファイアが強制されていない、フローがダウングレードされている
OIDC nonce	ID トークンの返却時に欠落している、または検証されていない
トークンの対象者と発行者	aud / iss のチェックが不十分、クライアントをまたいだトークンの再利用
アカウントのバインド	コールバックによって攻撃者の ID が被害者のセッションにバインドされる
スコープの処理	ユーザーまたはクライアントに許可されるべき範囲を超えるスコープが付与される

3. クイックトリアージ

1. 認可、コールバック、トークン交換、ログアウトまで、フロー全体をマッピングします。
2. state、nonce、redirect_uri を変更してコールバックフローを再実行します。
3. SPA、モバイル、ウェブの各クライアントを比較し、検証が弱いものがないか確認します。
4. あるプロバイダーアカウントを、別のローカルアカウントに再バインドできないか確認します。

4. 関連する確認項目

• CORS またはオリジンをまたぐトークンの漏えい：cors cross origin misconfiguration
• XML フェデレーションまたはエンタープライズ SSO：saml sso assertion attacks
• CSRF が関係するログインまたはバインドの不具合：csrf cross site request forgery