リフレッシュトークンローテーションを使用する

認可時に受け取ったリフレッシュトークンのローテーションの使用方法について説明します。

リフレッシュトークンローテーションを使用するには、Auth0 SPA SDK を使用します。Auth0 SPA SDK は、トークンの保存、セッション管理、その他の処理を担います。

​

前提条件

オフラインアクセスを有効にし、クライアント SDK で offline_access スコープをリクエストするには、リフレッシュトークンローテーションを設定する。

​

useRefreshTokens を有効にする

OAuth2 の仕様に準拠して、ブラウザーが /トークンエンドポイント にリフレッシュトークンをリクエストした場合、Auth0 は、そのクライアントで リフレッシュトークンローテーション が有効になっている場合にのみ、リフレッシュトークンを返します。

createAuth0Client の useRefreshTokens オプションを使用します。既定値は false です。このオプションが false に設定されている場合、getTokenSilently() が呼び出されて新しい アクセストークン が必要になると、SDK は隠し iframe と prompt=none を使って新しいアクセストークンの取得を試みます。

このオプションを true に設定すると、loginWithRedirect(), loginWithPopup(), getTokenSilently() の使用時に offline_access スコープが自動的にリクエストされます。getTokenSilently() が呼び出され、アクセストークンの有効期限が切れている場合、SDK はキャッシュ内のリフレッシュトークンとともに refresh_token グラントタイプを使用して /token エンドポイントを呼び出し、ID トークンとアクセストークンの更新を試みます。

サイレント再認証は、認証リクエストに prompt=none パラメーターを送信し、隠し iframe を使用することで実現されます。これが可能なのは、authorization server 上にアクティブなユーザーセッションがある場合です。useRefreshTokens を true に設定していてもキャッシュ内にリフレッシュトークンがない場合、SDK は iframe メソッドを使用します。これにより、ユーザーに再度ログインさせることなく、リフレッシュトークンの使用へシームレスに移行できます。

useRefreshTokens が true であるにもかかわらずキャッシュ内にリフレッシュトークンがないために交換に失敗した場合は、iframe メソッドにフォールバックします (この方法も、サードパーティ Cookie がブロックされていると失敗する可能性があります) 。

​

トークンの保存

SPA では、ID トークンとアクセストークンは認可サーバーから取得され、通常はメモリにキャッシュされます。トークンの更新 (ブラウザーの再読み込み、メモリキャッシュの制限による消去、または有効期限切れに伴うもの) は SDK が処理します。

​

例

次の例では、SDKでローカルストレージとリフレッシュトークンの両方を使用するように設定する方法を示します。

const auth0 = await createAuth0Client({
    domain: '<your Auth0 domain>',
    client_id: '<your Auth0 client ID>',
    cacheLocation: 'localstorage',
    useRefreshTokens: true
    });
    
    // ログインすると offline_access スコープが自動的にリクエストされ、
    // 取得したリフレッシュトークンが保存されます
    auth0.loginWithRedirect();
    
    // アクセストークンのサイレントリフレッシュでは、/token エンドポイントを使用し、
    // 'refresh_token' グラントとキャッシュ内のリフレッシュトークンを利用します
    await auth0.getTokenSilently();

​

さらに詳しく

• リフレッシュトークンローテーションを設定する
• リフレッシュトークンローテーションを無効にする
• トークンのベストプラクティス