> ## Documentation Index
> Fetch the complete documentation index at: https://translations.mintlify.site/llms.txt
> Use this file to discover all available pages before exploring further.
> 認可コードフローを使用して、従来型のWebアプリから独自のAPIを呼び出す方法を学びます。
# 認可コードフローを使用して独自のAPIを呼び出す
export const AuthCodeGroup = ({children, dropdown}) => {
const [processedChildren, setProcessedChildren] = useState(children);
useEffect(() => {
let unsubscribe = null;
function init() {
unsubscribe = window.autorun(() => {
const processChildren = node => {
if (typeof node === "string") {
let processedNode = node;
for (const [key, value] of window.rootStore.variableStore.values.entries()) {
const escapedKey = key.replaceAll(/[.*+?^${}()|[\]\\]/g, (String.raw)`\$&`);
processedNode = processedNode.replaceAll(new RegExp(escapedKey, "g"), value);
}
return processedNode;
} else if (Array.isArray(node)) {
return node.map(processChildren);
} else if (node && node.props && node.props.children) {
return {
...node,
props: {
...node.props,
children: processChildren(node.props.children)
}
};
}
return node;
};
setProcessedChildren(processChildren(children));
});
}
if (window.rootStore) {
init();
} else {
window.addEventListener("adu:storeReady", init);
}
return () => {
window.removeEventListener("adu:storeReady", init);
unsubscribe?.();
};
}, [children]);
return {processedChildren};
};
export const AuthCodeBlock = ({filename, icon, language, highlight, children}) => {
const [displayText, setDisplayText] = useState(children);
const [copyText, setCopyText] = useState(children);
const wrapperRef = React.useRef(null);
useEffect(() => {
let unsubscribe = null;
function init() {
if (!window.autorun || !window.rootStore) {
return;
}
unsubscribe = window.autorun(() => {
let processedChildrenForDisplay = children;
let processedChildrenForCopy = children;
for (const [key, value] of window.rootStore.variableStore.values.entries()) {
const escapedKey = key.replaceAll(/[.*+?^${}()|[\]\\]/g, (String.raw)`\$&`);
let displayValue = value;
if (key === "{yourClientSecret}" && value !== "{yourClientSecret}") {
displayValue = value.substring(0, 3) + "*****MASKED*****";
}
processedChildrenForDisplay = processedChildrenForDisplay.replaceAll(new RegExp(escapedKey, "g"), displayValue);
processedChildrenForCopy = processedChildrenForCopy.replaceAll(new RegExp(escapedKey, "g"), value);
}
setDisplayText(processedChildrenForDisplay);
setCopyText(processedChildrenForCopy);
});
}
if (window.rootStore) {
init();
} else {
window.addEventListener("adu:storeReady", init);
}
return () => {
window.removeEventListener("adu:storeReady", init);
unsubscribe?.();
};
}, [children]);
useEffect(() => {
if (!wrapperRef.current) return;
const originalWriteText = navigator.clipboard.writeText.bind(navigator.clipboard);
let isOverriding = false;
const handleClick = e => {
const button = e.target.closest('[data-testid="copy-code-button"]');
if (!button || !wrapperRef.current.contains(button)) return;
isOverriding = true;
navigator.clipboard.writeText = text => {
if (isOverriding) {
isOverriding = false;
navigator.clipboard.writeText = originalWriteText;
return originalWriteText(copyText);
}
return originalWriteText(text);
};
setTimeout(() => {
if (isOverriding) {
isOverriding = false;
navigator.clipboard.writeText = originalWriteText;
}
}, 100);
};
const wrapper = wrapperRef.current;
wrapper.addEventListener('click', handleClick, true);
return () => {
wrapper.removeEventListener('click', handleClick, true);
if (navigator.clipboard.writeText !== originalWriteText) {
navigator.clipboard.writeText = originalWriteText;
}
};
}, [copyText]);
return
{displayText}
;
};
export const codeExample1 = `https://{yourDomain}/authorize?
response_type=code&
client_id={yourClientId}&
redirect_uri={https://yourApp/callback}&
scope={scope}&
audience={apiAudience}&
state={state}`;
export const codeExample2 = `
サインイン
`;
このチュートリアルでは、認可コードフローを使用して独自のAPIを呼び出す方法を紹介します。このフローの仕組みや、これを使用すべき理由について知りたい場合は、[認可コードフロー](/docs/ja-jp/get-started/authentication-and-authorization-flow/authorization-code-flow)を参照してください。通常のWebアプリにログインを追加する方法を知りたい場合は、[認可コードフローを使用してログインを追加する](/docs/ja-jp/get-started/authentication-and-authorization-flow/authorization-code-flow/add-login-auth-code-flow)を参照してください。
Auth0 を使うと、次の方法でアプリケーションに認可コードフローを簡単に実装できます。
* [Regular Web App Quickstarts](/docs/ja-jp/quickstart/webapp): このフローを実装する最も簡単な方法です。
* [Authentication API](https://auth0.com/docs/api/authentication): 独自のソリューションを構築したい場合は、このまま読み進めて、API を直接呼び出す方法を確認してください。
## 事前準備
**このチュートリアルを始める前に:**
* [Auth0 にアプリケーションを登録する](/docs/ja-jp/get-started/auth0-overview/create-applications/regular-web-apps).
* **アプリケーションの種類** で **Regular Web Apps** を選択します。
* **Allowed Callback URL** に `{https://yourApp/callback}` を追加します。
* アプリケーションの **グラントタイプ** に **認可コード** が含まれていることを確認します。設定方法については、[グラントタイプ を更新する](/docs/ja-jp/get-started/applications/update-grant-types)を参照してください。
* アプリケーションで[リフレッシュトークン](/docs/ja-jp/secure/tokens/refresh-tokens)を使用できるようにする場合は、アプリケーションの **グラントタイプ** に **リフレッシュトークン** が含まれていることを確認します。設定方法については、[グラントタイプ を更新する](/docs/ja-jp/get-started/applications/update-grant-types)を参照してください。リフレッシュトークンの詳細については、[refresh tokens](/docs/ja-jp/secure/tokens/refresh-tokens)を参照してください。
* [Auth0 に API を登録する](/docs/ja-jp/get-started/auth0-overview/set-up-apis)
* API が以前のトークンの有効期限が切れた際に新しいトークンを取得できるよう、API でリフレッシュトークンを受け取れるようにしたい場合は、**オフラインアクセスの許可** を有効にします。
## ステップ
このステップには、次のプロセスのうち1つ以上が含まれる場合があります。
* ユーザーを認証する
* 認証を処理するために、ユーザーをIDプロバイダーにリダイレクトする
* アクティブなシングルサインオン (SSO) セッションがあるか確認する
* 以前に同意が与えられていない場合は、要求された権限レベルに対するユーザーの同意を取得する
ユーザーを認可するには、アプリでユーザーを[認可 URL](https://auth0.com/docs/api/authentication#authorization-code-grant)に送る必要があります。
#### 認可 URL の例
##### パラメータ
カスタム API の呼び出し時にユーザーを認可する場合は、次の点に注意してください。
* `audience` パラメータを含める必要があります
* 対象 API でサポートされている追加のスコープを含めることができます
| Parameter Name | Description |
| --------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ |
| `response_type` | Auth0 が返す認証情報の種類 (`code` または `token`) を示します。このフローでは、値は `code` である必要があります。 |
| `client_id` | あなたのアプリケーションの Client ID です。この値は [アプリケーション設定](https://manage.auth0.com/#/Applications/\{yourClientId}/settings) で確認できます。 |
| `redirect_uri` | ユーザーが認可を与えた後に、Auth0 がブラウザーをリダイレクトする URL です。認可コードは URL パラメータ `code` で渡されます。この URL は、[アプリケーション設定](https://manage.auth0.com/#/Applications/\{yourClientId}/settings) で有効なコールバック URL として指定する必要があります。
**警告:** [OAuth 2.0 Specification](https://tools.ietf.org/html/rfc6749#section-3.1.2) に従い、Auth0 はハッシュ以降のすべてを削除し、フラグメントは一切考慮しません。 |
| `scope` | 認可を要求する[スコープ](/docs/ja-jp/get-started/apis/scopes)を指定します。これにより、どのクレーム (またはユーザー属性) を返すかが決まります。各スコープはスペースで区切る必要があります。`profile` や `email` など、ユーザーに関する任意の[標準 OpenID Connect (OIDC) スコープ](https://openid.net/specs/openid-connect-core-1_0.html#StandardClaims)、[名前空間付き形式](/docs/ja-jp/secure/tokens/json-web-tokens/create-custom-claims)に準拠した[カスタムクレーム](/docs/ja-jp/secure/tokens/json-web-tokens/json-web-token-claims#custom-claims)、または対象 API がサポートする任意のスコープ (例: `read:contacts`) を要求できます。[リフレッシュトークン](/docs/ja-jp/glossary?term=Refresh+Token)を取得するには `offline_access` を含めます ([アプリケーション設定](https://manage.auth0.com/#/applications) で **オフラインアクセスの許可** フィールドが有効になっていることを確認してください) 。 |
| `audience` | web app がアクセスしたい API の一意の識別子です。このチュートリアルの前提条件の一部として作成した API の [設定](https://manage.auth0.com/#/apis) タブにある **Identifier** の値を使用してください。 |
| `state` | (推奨) アプリが最初のリクエストに追加する、不透明な任意の英数字文字列です。Auth0 は、アプリケーションにリダイレクトするときにこの値を含めます。この値を使ってクロスサイトリクエストフォージェリ (CSRF) 攻撃を防ぐ方法については、[Mitigate CSRF Attacks With State Parameters](/docs/ja-jp/secure/attack-protection/state-parameters) を参照してください。 |
| `organization` | (任意) ユーザーの認証時に使用する organization の ID です。指定しない場合、アプリケーションが **Display Organization Prompt** を表示するよう設定されていれば、ユーザーは認証時に organization名 を入力できます。 |
| `invitation` | (任意) organization 招待の ticket ID です。[Organizations にメンバーを招待する](/docs/ja-jp/manage-users/organizations/configure-organizations/invite-members)場合、ユーザーが招待を承諾したときに、アプリケーションは `invitation` と `organization` のキーと値のペアを転送して、招待の承諾を処理する必要があります。 |
例として、アプリに login を追加する際の認可 URL 用 HTML スニペットは次のようになります。
#### レスポンス
すべてが正常に進むと、`HTTP 302` レスポンスが返されます。認可コードは URL の末尾に含まれます。
```http lines theme={null}
HTTP/1.1 302 Found
Location: {https://yourApp/callback}?code={authorizationCode}&state=xyzABC123
```
認可コードを取得できたら、それをトークンと交換する必要があります。前のステップで取り出した認可コード (`code`) を使用して、[トークン URL](https://auth0.com/docs/api/authentication#authorization-code) に `POST` してください。
#### トークン URL への POST の例
```bash cURL theme={null}
curl --request POST \
--url 'https://{yourDomain}/oauth/token' \
--header 'content-type: application/x-www-form-urlencoded' \
--data grant_type=authorization_code \
--data 'client_id={yourClientId}' \
--data 'client_secret={yourClientSecret}' \
--data 'code={yourAuthorizationCode}' \
--data 'redirect_uri={https://yourApp/callback}'
```
```csharp C# theme={null}
var client = new RestClient("https://{yourDomain}/oauth/token");
var request = new RestRequest(Method.POST);
request.AddHeader("content-type", "application/x-www-form-urlencoded");
request.AddParameter("application/x-www-form-urlencoded", "grant_type=authorization_code&client_id={yourClientId}&client_secret=%7ByourClientSecret%7D&code=yourAuthorizationCode%7D&redirect_uri={https://yourApp/callback}", ParameterType.RequestBody);
IRestResponse response = client.Execute(request);
```
```go Go theme={null}
package main
import (
"fmt"
"strings"
"net/http"
"io/ioutil"
)
func main() {
url := "https://{yourDomain}/oauth/token"
payload := strings.NewReader("grant_type=authorization_code&client_id={yourClientId}&client_secret=%7ByourClientSecret%7D&code=yourAuthorizationCode%7D&redirect_uri={https://yourApp/callback}")
req, _ := http.NewRequest("POST", url, payload)
req.Header.Add("content-type", "application/x-www-form-urlencoded")
res, _ := http.DefaultClient.Do(req)
defer res.Body.Close()
body, _ := ioutil.ReadAll(res.Body)
fmt.Println(res)
fmt.Println(string(body))
}
```
```java Java theme={null}
HttpResponse response = Unirest.post("https://{yourDomain}/oauth/token")
.header("content-type", "application/x-www-form-urlencoded")
.body("grant_type=authorization_code&client_id={yourClientId}&client_secret=%7ByourClientSecret%7D&code=yourAuthorizationCode%7D&redirect_uri={https://yourApp/callback}")
.asString();
```
```javascript Node.JS theme={null}
var axios = require("axios").default;
var options = {
method: 'POST',
url: 'https://{yourDomain}/oauth/token',
headers: {'content-type': 'application/x-www-form-urlencoded'},
data: new URLSearchParams({
grant_type: 'authorization_code',
client_id: '{yourClientId}',
client_secret: '{yourClientSecret}',
code: 'yourAuthorizationCode}',
redirect_uri: '{https://yourApp/callback}'
})
};
axios.request(options).then(function (response) {
console.log(response.data);
}).catch(function (error) {
console.error(error);
});
```
```php PHP theme={null}
$curl = curl_init();
curl_setopt_array($curl, [
CURLOPT_URL => "https://{yourDomain}/oauth/token",
CURLOPT_RETURNTRANSFER => true,
CURLOPT_ENCODING => "",
CURLOPT_MAXREDIRS => 10,
CURLOPT_TIMEOUT => 30,
CURLOPT_HTTP_VERSION => CURL_HTTP_VERSION_1_1,
CURLOPT_CUSTOMREQUEST => "POST",
CURLOPT_POSTFIELDS => "grant_type=authorization_code&client_id={yourClientId}&client_secret=%7ByourClientSecret%7D&code=yourAuthorizationCode%7D&redirect_uri={https://yourApp/callback}",
CURLOPT_HTTPHEADER => [
"content-type: application/x-www-form-urlencoded"
],
]);
$response = curl_exec($curl);
$err = curl_error($curl);
curl_close($curl);
if ($err) {
echo "cURL Error #:" . $err;
} else {
echo $response;
}
```
```python Python theme={null}
import http.client
conn = http.client.HTTPSConnection("")
payload = "grant_type=authorization_code&client_id={yourClientId}&client_secret=%7ByourClientSecret%7D&code=yourAuthorizationCode%7D&redirect_uri={https://yourApp/callback}"
headers = { 'content-type': "application/x-www-form-urlencoded" }
conn.request("POST", "/{yourDomain}/oauth/token", payload, headers)
res = conn.getresponse()
data = res.read()
print(data.decode("utf-8"))
```
```ruby Ruby theme={null}
require 'uri'
require 'net/http'
require 'openssl'
url = URI("https://{yourDomain}/oauth/token")
http = Net::HTTP.new(url.host, url.port)
http.use_ssl = true
http.verify_mode = OpenSSL::SSL::VERIFY_PEER
request = Net::HTTP::Post.new(url)
request["content-type"] = 'application/x-www-form-urlencoded'
request.body = "grant_type=authorization_code&client_id={yourClientId}&client_secret=%7ByourClientSecret%7D&code=yourAuthorizationCode%7D&redirect_uri={https://yourApp/callback}"
response = http.request(request)
puts response.read_body
```
##### パラメータ
| パラメータ名 | 説明 |
| --------------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| `grant_type` | `authorization_code` に設定します。 |
| `code` | このチュートリアルの前のステップで取得した`authorization_code`。 |
| `client_id` | お使いのアプリケーションの Client ID です。この値は [Application Settings](https://manage.auth0.com/#/Applications/\{yourClientId}/settings) で確認できます。 |
| `client_secret` | アプリケーションの Client Secret。この値は [Application Settings](https://manage.auth0.com/#/Applications/\{yourClientId}/settings) で確認できます。アプリケーションで利用可能な認証方法について詳しくは、[Application Credentials](/docs/ja-jp/secure/application-credentials) を参照してください。 |
| `redirect_uri` | アプリケーションの設定で指定した有効なコールバック URL。この値は、このチュートリアルの前のステップで認可 URL に渡した `redirect_uri` と完全に一致している必要があります。また、URL エンコードされている必要がある点に注意してください。 |
#### レスポンス
すべて正常に完了すると、`access_token`、`refresh_token`、`id_token`、`token_type` の値を含むペイロードとともに `HTTP 200` レスポンスが返されます：
```json lines theme={null}
{
"access_token": "eyJz93a...k4laUWw",
"refresh_token": "GEbRxBN...edjnXbL",
"id_token": "eyJ0XAi...4faeEoQ",
"token_type": "Bearer"
}
```
保存する前に、トークンを検証してください。方法については、[ID トークンを検証する](/docs/ja-jp/secure/tokens/id-tokens/validate-id-tokens) と [アクセストークンを検証する](/docs/ja-jp/secure/tokens/access-tokens/validate-access-tokens) をご覧ください。
[ID トークン](/docs/ja-jp/secure/tokens/id-tokens)には、デコードして取り出す必要があるユーザー情報が含まれています。
[アクセストークン](/docs/ja-jp/secure/tokens/access-tokens)は、[Auth0 Authentication APIの/userinfoエンドポイント](https://auth0.com/docs/api/authentication#get-user-info)または他のAPIを呼び出す際に使用します。独自のAPIを呼び出す場合、APIで最初に行う必要があるのは[アクセストークンの検証](/docs/ja-jp/secure/tokens/access-tokens/validate-access-tokens)です。
[リフレッシュトークン](/docs/ja-jp/secure/tokens/refresh-tokens)は、以前のアクセストークンまたはIDトークンの有効期限が切れた後に新しいトークンを取得するために使用されます。`refresh_token` がレスポンスに含まれるのは、`offline_access` スコープを含め、ダッシュボードでAPIの**オフラインアクセスを許可**を有効にした場合のみです。
リフレッシュトークンは、ユーザーが実質的に無期限で認証済みの状態を維持できるため、安全に保管する必要があります。
通常の Web アプリケーションから API を呼び出すには、アプリケーションで取得したアクセストークンを、HTTP リクエストの Authorization ヘッダーで Bearer トークンとして渡す必要があります。
```bash cURL lines theme={null}
curl --request GET \
--url https://myapi.com/api \
--header 'authorization: Bearer {accessToken}' \
--header 'content-type: application/json'
```
```csharp C# lines theme={null}
var client = new RestClient("https://myapi.com/api");
var request = new RestRequest(Method.GET);
request.AddHeader("content-type", "application/json");
request.AddHeader("authorization", "Bearer {accessToken}");
IRestResponse response = client.Execute(request);
```
```go Go lines expandable theme={null}
package main
import (
"fmt"
"net/http"
"io/ioutil"
)
func main() {
url := "https://myapi.com/api"
req, _ := http.NewRequest("GET", url, nil)
req.Header.Add("content-type", "application/json")
req.Header.Add("authorization", "Bearer {accessToken}")
res, _ := http.DefaultClient.Do(req)
defer res.Body.Close()
body, _ := ioutil.ReadAll(res.Body)
fmt.Println(res)
fmt.Println(string(body))
}
```
```java Java lines theme={null}
HttpResponse response = Unirest.get("https://myapi.com/api")
.header("content-type", "application/json")
.header("authorization", "Bearer {accessToken}")
.asString();
```
```javascript Node.JS lines theme={null}
var axios = require("axios").default;
var options = {
method: 'GET',
url: 'https://myapi.com/api',
headers: {'content-type': 'application/json', authorization: 'Bearer {accessToken}'}
};
axios.request(options).then(function (response) {
console.log(response.data);
}).catch(function (error) {
console.error(error);
});
```
```php PHP lines expandable theme={null}
$curl = curl_init();
curl_setopt_array($curl, [
CURLOPT_URL => "https://myapi.com/api",
CURLOPT_RETURNTRANSFER => true,
CURLOPT_ENCODING => "",
CURLOPT_MAXREDIRS => 10,
CURLOPT_TIMEOUT => 30,
CURLOPT_HTTP_VERSION => CURL_HTTP_VERSION_1_1,
CURLOPT_CUSTOMREQUEST => "GET",
CURLOPT_HTTPHEADER => [
"authorization: Bearer {accessToken}",
"content-type: application/json"
],
]);
$response = curl_exec($curl);
$err = curl_error($curl);
curl_close($curl);
if ($err) {
echo "cURL Error #:" . $err;
} else {
echo $response;
}
```
```python Python lines theme={null}
import http.client
conn = http.client.HTTPSConnection("myapi.com")
headers = {
'content-type': "application/json",
'authorization': "Bearer {accessToken}"
}
conn.request("GET", "/api", headers=headers)
res = conn.getresponse()
data = res.read()
print(data.decode("utf-8"))
```
```ruby Ruby lines theme={null}
require 'uri'
require 'net/http'
require 'openssl'
url = URI("https://myapi.com/api")
http = Net::HTTP.new(url.host, url.port)
http.use_ssl = true
http.verify_mode = OpenSSL::SSL::VERIFY_PEER
request = Net::HTTP::Get.new(url)
request["content-type"] = 'application/json'
request["authorization"] = 'Bearer {accessToken}'
response = http.request(request)
puts response.read_body
```
このチュートリアルに沿って以下の手順を完了している場合は、すでに[リフレッシュトークン](/docs/ja-jp/secure/tokens/refresh-tokens)を取得済みです。
* API でオフラインアクセスの許可を有効にした
* [authorize エンドポイント](https://auth0.com/docs/api/authentication/reference#authorize-application) を通じて認証リクエストを開始する際に、`offline_access` スコープを含めた。
リフレッシュトークンを使用して、新しいアクセストークンを取得できます。通常、新しいアクセストークンが必要になるのは、以前のトークンの有効期限が切れた場合や、新しいリソースに初めてアクセスする場合に限られます。APIを呼び出すたびに新しいアクセストークンを取得するためにエンドポイントを呼ぶのは推奨されません。Auth0は、同じIPおよび同じトークンを使用してエンドポイントに送信できるリクエスト数に対してレート制限を設けており、その量を制限します。
トークンを更新するには、`grant_type=refresh_token`を使用して、Authentication APIの`/oauth/token`エンドポイントに`POST`リクエストを送信します。
##### トークン URL への POST の例
```bash cURL theme={null}
curl --request POST \
--url 'https://{yourDomain}/oauth/token' \
--header 'content-type: application/x-www-form-urlencoded' \
--data grant_type=refresh_token \
--data 'client_id={yourClientId}' \
--data 'refresh_token={yourRefreshToken}'
```
```csharp C# theme={null}
var client = new RestClient("https://{yourDomain}/oauth/token");
var request = new RestRequest(Method.POST);
request.AddHeader("content-type", "application/x-www-form-urlencoded");
request.AddParameter("application/x-www-form-urlencoded", "grant_type=refresh_token&client_id={yourClientId}&refresh_token=%7ByourRefreshToken%7D", ParameterType.RequestBody);
IRestResponse response = client.Execute(request);
```
```go Go theme={null}
package main
import (
"fmt"
"strings"
"net/http"
"io/ioutil"
)
func main() {
url := "https://{yourDomain}/oauth/token"
payload := strings.NewReader("grant_type=refresh_token&client_id={yourClientId}&refresh_token=%7ByourRefreshToken%7D")
req, _ := http.NewRequest("POST", url, payload)
req.Header.Add("content-type", "application/x-www-form-urlencoded")
res, _ := http.DefaultClient.Do(req)
defer res.Body.Close()
body, _ := ioutil.ReadAll(res.Body)
fmt.Println(res)
fmt.Println(string(body))
}
```
```java Java theme={null}
HttpResponse response = Unirest.post("https://{yourDomain}/oauth/token")
.header("content-type", "application/x-www-form-urlencoded")
.body("grant_type=refresh_token&client_id={yourClientId}&refresh_token=%7ByourRefreshToken%7D")
.asString();
```
```javascript Node.JS theme={null}
var axios = require("axios").default;
var options = {
method: 'POST',
url: 'https://{yourDomain}/oauth/token',
headers: {'content-type': 'application/x-www-form-urlencoded'},
data: new URLSearchParams({
grant_type: 'refresh_token',
client_id: '{yourClientId}',
refresh_token: '{yourRefreshToken}'
})
};
axios.request(options).then(function (response) {
console.log(response.data);
}).catch(function (error) {
console.error(error);
});
```
```php PHP theme={null}
$curl = curl_init();
curl_setopt_array($curl, [
CURLOPT_URL => "https://{yourDomain}/oauth/token",
CURLOPT_RETURNTRANSFER => true,
CURLOPT_ENCODING => "",
CURLOPT_MAXREDIRS => 10,
CURLOPT_TIMEOUT => 30,
CURLOPT_HTTP_VERSION => CURL_HTTP_VERSION_1_1,
CURLOPT_CUSTOMREQUEST => "POST",
CURLOPT_POSTFIELDS => "grant_type=refresh_token&client_id={yourClientId}&refresh_token=%7ByourRefreshToken%7D",
CURLOPT_HTTPHEADER => [
"content-type: application/x-www-form-urlencoded"
],
]);
$response = curl_exec($curl);
$err = curl_error($curl);
curl_close($curl);
if ($err) {
echo "cURL Error #:" . $err;
} else {
echo $response;
}
```
```python Python theme={null}
import http.client
conn = http.client.HTTPSConnection("")
payload = "grant_type=refresh_token&client_id={yourClientId}&refresh_token=%7ByourRefreshToken%7D"
headers = { 'content-type': "application/x-www-form-urlencoded" }
conn.request("POST", "/{yourDomain}/oauth/token", payload, headers)
res = conn.getresponse()
data = res.read()
print(data.decode("utf-8"))
```
```ruby Ruby theme={null}
require 'uri'
require 'net/http'
require 'openssl'
url = URI("https://{yourDomain}/oauth/token")
http = Net::HTTP.new(url.host, url.port)
http.use_ssl = true
http.verify_mode = OpenSSL::SSL::VERIFY_PEER
request = Net::HTTP::Post.new(url)
request["content-type"] = 'application/x-www-form-urlencoded'
request.body = "grant_type=refresh_token&client_id={yourClientId}&refresh_token=%7ByourRefreshToken%7D"
response = http.request(request)
puts response.read_body
```
###### パラメータ
| パラメーター名 | 説明 |
| --------------- | ------------------------------------------------------------------------------------------------------------------- |
| `grant_type` | これを`refresh_token`に設定します。 |
| `client_id` | お使いのアプリケーションのClient IDです。この値は[アプリケーション設定](https://manage.auth0.com/#/Applications/\{yourClientId}/settings)で確認できます。 |
| `refresh_token` | 使用するリフレッシュトークンです。 |
| `scope` | (任意) 要求するスコープ権限をスペース区切りで指定したリストです。送信しない場合は元のスコープが使用されます。送信した場合は、より少ないスコープを要求できます。URLエンコードが必要です。 |
###### レスポンス
すべてが順調に進めば、新しい `access_token`、その有効期間 (秒単位、`expires_in`) 、付与された `scope` の値、および `token_type` を含むペイロードとともに `HTTP 200` レスポンスが返されます。最初のトークンのスコープに `openid` が含まれていた場合、レスポンスには新しい `id_token` も含まれます：
```json lines theme={null}
{
"access_token": "eyJ...MoQ",
"expires_in": 86400,
"scope": "openid offline_access",
"id_token": "eyJ...0NE",
"token_type": "Bearer"
}
```
保存する前に、トークンを検証してください。方法については、[ID トークンを検証する](/docs/ja-jp/secure/tokens/id-tokens/validate-id-tokens) と [アクセストークンを検証する](/docs/ja-jp/secure/tokens/access-tokens/validate-access-tokens) をご覧ください。
### 使用例
#### トークンをカスタマイズする
Auth0 Actions を使用すると、アクセストークン のスコープを変更したり、アクセストークンや ID トークン にカスタムクレームを追加したりできます。Actions の詳細については、[Auth0 Actions の仕組みを理解する](/docs/ja-jp/customize/actions/actions-overview) を参照してください。
これを行うには、ユーザーの認証後に実行される次の Post-Login Action を追加します。
```js lines theme={null}
exports.onExecutePostLogin = async (event, api) => {
// アクセストークンと ID トークンにカスタムクレームを追加する
api.accessToken.setCustomClaim('https://foo/bar', 'value');
api.idToken.setCustomClaim('https://fiz/baz', 'some other value');
// アクセストークンのスコープを変更する
api.accessToken.addScope('foo');
api.accessToken.addScope('bar');
};
```
Auth0 は、[OpenID Connect (OIDC) 仕様](https://openid.net/specs/openid-connect-core-1_0.html#StandardClaims) で定義されている構造化クレーム形式で、プロファイル情報を返します。つまり、ID トークンまたはアクセストークンに追加するカスタムクレームは、名前の衝突を避けるために[ガイドラインと制限事項に準拠する必要があります](/docs/ja-jp/secure/tokens/json-web-tokens/create-custom-claims)。
## さらに詳しく
* [OAuth 2.0 認可フレームワーク](/docs/ja-jp/authenticate/protocols/oauth)
* [OpenID Connect プロトコル](/docs/ja-jp/authenticate/protocols/openid-connect-protocol)
* [トークン](/docs/ja-jp/secure/tokens)