roblox-cloud

Roblox Open Cloud

読み込むタイミング

Open Cloud、OAuth、Webhook、HttpService、またはテレポートの引き継ぎについて扱う場合に読み込みます。ゲーム内データには、roblox-data と roblox-server-data を使用してください。

クイックリファレンス

まず認証方式を選ぶ

• API キー： サーバー、CI、ボット、Webhook ワーカー、またはオーナーによる自動化向けです。必要なリソースと操作に範囲を限定してください。
• OAuth 2.0： サードパーティアプリが、ユーザーから許可された Roblox リソースへのアクセスを必要とする場合に使用します。PKCE を使用した認可コードフローを利用してください。
• レプリケートされるコードやブラウザーに配信されるコードで、認証情報やトークンを公開しないでください。

REST の仕組み

• リソースでは通常、https://apis.roblox.com/cloud/v2/... を使用します。各エンドポイントと、レガシー版 v1 の例外を確認してください。
• nextPageToken を読み取り、変更せずに pageToken として送信してください。
• 変更するフィールドにのみ updateMask を使用してください。
• 返された Operation を、上限を設けたバックオフでポーリングしてください。
• 429 と RESOURCE_EXHAUSTED はクォータに関する通知として扱い、Retry-After に従ってください。

OAuth の要点

1. 正確なリダイレクト URL と最小限のスコープを登録します。
2. 試行ごとに、新しい高エントロピーの state と PKCE verifier／challenge を用意します。
3. 使い捨てコードを交換する前に state を検証します。
4. 信頼できるバックエンド経由で交換／更新し、ローテーションされた refresh token をアトミックに置き換えます。
5. userinfo で ID、introspect で有効性、token/resources で許可されたアクセスを確認します。
6. スコープの変更時は再認可し、接続解除時は取り消します。

パブリッククライアントはシークレットを保持できないため、PKCE が必要です。コンフィデンシャルクライアントはシークレットをサーバー側で保持し、PKCE も使用してください。

Webhook と HttpService

• 署名を検証し、古い配信を拒否し、ID の重複を排除して、すばやく 2XX を返し、非同期で処理してください。
• エクスペリエンス内では、HttpService がサポートされていることを確認してください。HTTPS と、x-api-key 用の Roblox Secret を使用してください。

失敗時の境界

パス、スキーマ、スコープ、権限、リソースの許可をそれぞれ検証してください。一時的な失敗に限り再試行します。

認証と引き継ぎのワークフロー：references/full.md

スクリプトではなく、認知のための情報です。 ユーザーが Open Cloud で自動化できる作業（大量アップロード、メタデータ編集、キャンペーンなど）を手作業で行う場合は、Open Cloud の利用を提案してください。アセットの取得（生成／検索／アップロード／ID の適用）では、選択肢を提示し、デフォルトを決めつけないでください。references/full.md §1.5 を参照してください。