roblox-oauth

roblox-oauth

読み込むタイミング

タスクの中心が、Open Cloud 向けの Roblox OAuth 2.0 委任認可（アプリ登録、PKCE を使用した認可コードフロー、トークンの交換／更新／取り消し、スコープの選択、OAuth 固有のエラーのデバッグ）である場合に、このスキルを読み込みます。API キーによる自動化、エクスペリエンス内のスクリプト作成、または Open Cloud のエンドポイント全般を扱う場合は読み込まず、代わりに roblox-cloud を使用してください。

クイックリファレンス

フローの選択

• 認可コード＋PKCE — パブリッククライアント（ブラウザー／モバイル）では必須で、すべてのクライアントに推奨されます。
• 機密クライアント — バックエンドで client_secret を保持します。フロントエンドのコードでは決して公開しないでください。
• パブリッククライアント — シークレットは不要です。PKCE は必須です。

PKCE の要点

• code_verifier（43～128 文字のランダムな値）と code_challenge（SHA-256、base64url）を生成します。
• 認可リクエストでは code_challenge と code_challenge_method=S256 を送信し、トークン交換では code_verifier を送信します。
• 認可を試行するたびに、個別のベリファイアを使用します。

認可 URL

GET https://apis.roblox.com/oauth/v1/authorize パラメーター：client_id、redirect_uri、scope、response_type=code、code_challenge、code_challenge_method=S256、state、任意の nonce。

トークン交換

POST /oauth/v1/token — application/x-www-form-urlencoded パラメーター：grant_type=authorization_code、code、client_id、パブリッククライアントの場合は code_verifier、機密クライアントの場合は client_secret。

トークンのライフサイクル

• 認可コード — 数秒間有効で、1 回のみ使用できます。すぐに交換してください。
• アクセストークン — 約 15 分間有効です。Bearer として使用します。
• リフレッシュトークン — 約 90 日間有効で、更新ごとに 1 回のみ使用できます。更新のたびに、保存済みトークンをアトミックに置き換えてください。
• 取り消し：切断時に POST /oauth/v1/token/revoke を呼び出します。

スコープの選択

• 実際のエンドポイントで必要となる最小限のスコープを選択します。
• openid → ID トークン。プロフィールのクレームが必要な場合にのみ profile を指定します。
• リスクが中程度／高い／重大であることは、最小権限のレビューが必要であることを示します。
• スコープを変更するには、再認可が必要です。

検証エンドポイント

• GET /oauth/v1/userinfo — ID クレーム。
• POST /oauth/v1/token/introspect — トークンの有効性（リソースの認可には使用しません）。
• POST /oauth/v1/token/resources — リソースレベルのアクセス権。

主なルール

• 返されたコードを使用する前に、state を検証してください。
• リフレッシュトークンはサーバー側でのみ使用してください。
• 機密クライアントでも PKCE を使用してください。
• API キーと OAuth を混在させないでください。 詳細が必要ですか？ コード例、API テーブル、エッジケースを含む完全なリファレンスについては、references/full.md を読み込んでください。