> ## Documentation Index
> Fetch the complete documentation index at: https://translations.mintlify.site/llms.txt
> Use this file to discover all available pages before exploring further.
> Authorization Code Flow を使用して、通常の Web アプリケーションから独自の API を呼び出す方法を説明します。
# Authorization Code Flow を使用して独自の API を呼び出す
export const AuthCodeGroup = ({children, dropdown}) => {
const [processedChildren, setProcessedChildren] = useState(children);
useEffect(() => {
let unsubscribe = null;
function init() {
unsubscribe = window.autorun(() => {
const processChildren = node => {
if (typeof node === "string") {
let processedNode = node;
for (const [key, value] of window.rootStore.variableStore.values.entries()) {
const escapedKey = key.replaceAll(/[.*+?^${}()|[\]\\]/g, (String.raw)`\$&`);
processedNode = processedNode.replaceAll(new RegExp(escapedKey, "g"), value);
}
return processedNode;
} else if (Array.isArray(node)) {
return node.map(processChildren);
} else if (node && node.props && node.props.children) {
return {
...node,
props: {
...node.props,
children: processChildren(node.props.children)
}
};
}
return node;
};
setProcessedChildren(processChildren(children));
});
}
if (window.rootStore) {
init();
} else {
window.addEventListener("adu:storeReady", init);
}
return () => {
window.removeEventListener("adu:storeReady", init);
unsubscribe?.();
};
}, [children]);
return {processedChildren};
};
export const AuthCodeBlock = ({filename, icon, language, highlight, children}) => {
const [displayText, setDisplayText] = useState(children);
const [copyText, setCopyText] = useState(children);
const wrapperRef = React.useRef(null);
useEffect(() => {
let unsubscribe = null;
function init() {
if (!window.autorun || !window.rootStore) {
return;
}
unsubscribe = window.autorun(() => {
let processedChildrenForDisplay = children;
let processedChildrenForCopy = children;
for (const [key, value] of window.rootStore.variableStore.values.entries()) {
const escapedKey = key.replaceAll(/[.*+?^${}()|[\]\\]/g, (String.raw)`\$&`);
let displayValue = value;
if (key === "{yourClientSecret}" && value !== "{yourClientSecret}") {
displayValue = value.substring(0, 3) + "*****マスク済み*****";
}
processedChildrenForDisplay = processedChildrenForDisplay.replaceAll(new RegExp(escapedKey, "g"), displayValue);
processedChildrenForCopy = processedChildrenForCopy.replaceAll(new RegExp(escapedKey, "g"), value);
}
setDisplayText(processedChildrenForDisplay);
setCopyText(processedChildrenForCopy);
});
}
if (window.rootStore) {
init();
} else {
window.addEventListener("adu:storeReady", init);
}
return () => {
window.removeEventListener("adu:storeReady", init);
unsubscribe?.();
};
}, [children]);
useEffect(() => {
if (!wrapperRef.current) return;
const originalWriteText = navigator.clipboard.writeText.bind(navigator.clipboard);
let isOverriding = false;
const handleClick = e => {
const button = e.target.closest('[data-testid="copy-code-button"]');
if (!button || !wrapperRef.current.contains(button)) return;
isOverriding = true;
navigator.clipboard.writeText = text => {
if (isOverriding) {
isOverriding = false;
navigator.clipboard.writeText = originalWriteText;
return originalWriteText(copyText);
}
return originalWriteText(text);
};
setTimeout(() => {
if (isOverriding) {
isOverriding = false;
navigator.clipboard.writeText = originalWriteText;
}
}, 100);
};
const wrapper = wrapperRef.current;
wrapper.addEventListener('click', handleClick, true);
return () => {
wrapper.removeEventListener('click', handleClick, true);
if (navigator.clipboard.writeText !== originalWriteText) {
navigator.clipboard.writeText = originalWriteText;
}
};
}, [copyText]);
return
{displayText}
;
};
export const codeExample1 = `https://{yourDomain}/authorize?
response_type=code&
client_id={yourClientId}&
redirect_uri={https://yourApp/callback}&
scope={scope}&
audience={apiAudience}&
state={state}`;
export const codeExample2 = `
サインイン
`;
このチュートリアルでは、Authorization Code Flow を使用して独自の API を呼び出す方法を説明します。フローの仕組みや、このフローを使用すべき理由については、[Authorization Code Flow](/ja/docs/get-started/authentication-and-authorization-flow/authorization-code-flow)を参照してください。通常の Web アプリにログインを追加する方法については、[Add Login Using the Authorization Code Flow](/ja/docs/get-started/authentication-and-authorization-flow/authorization-code-flow/add-login-auth-code-flow)を参照してください。
Auth0 では、アプリに 認可コード Flow を、次を使用して簡単に実装できます。
* [Regular Web App Quickstarts](/ja/docs/quickstart/webapp): フローを実装する最も簡単な方法です。
* [Authentication API](https://auth0.com/docs/api/authentication): 独自のソリューションを構築したい場合は、このまま読み進めて API を直接呼び出す方法を確認してください。
## 前提条件
**このチュートリアルを始める前に:**
* [Auth0 にアプリケーションを登録します](/ja/docs/get-started/auth0-overview/create-applications/regular-web-apps)。
* **Application Type** で **Regular Web Apps** を選択します。
* **Allowed Callback URL** に `{https://yourApp/callback}` を追加します。
* アプリケーションの **Grant Types** に **認可コード** が含まれていることを確認します。手順については、[Grant Types を更新する](/ja/docs/get-started/applications/update-grant-types)を参照してください。
* アプリケーションで [リフレッシュトークン](/ja/docs/secure/tokens/refresh-tokens) を使用できるようにするには、アプリケーションの **Grant Types** に **refresh token** が含まれていることを確認します。手順については、[Grant Types を更新する](/ja/docs/get-started/applications/update-grant-types)を参照してください。リフレッシュトークンの詳細については、[リフレッシュトークン](/ja/docs/secure/tokens/refresh-tokens)を参照してください。
* [Auth0 に API を登録します](/ja/docs/get-started/auth0-overview/set-up-apis)
* API がリフレッシュトークンを受け取り、既存のトークンの有効期限が切れたときに新しいトークンを取得できるようにするには、**Allow Offline Access** を有効にします。
## 手順
このステップには、次のプロセスの 1 つ以上が含まれる場合があります。
* ユーザーを認証する
* 認証を行うため、ユーザーを IDプロバイダー にリダイレクトする
* アクティブなシングルサインオン (SSO) セッションを確認する
* 以前に同意が与えられていない場合は、要求された権限レベルに対するユーザーの同意を取得する
ユーザーを認可するには、アプリケーションからユーザーを [認可 URL](https://auth0.com/docs/api/authentication#authorization-code-grant) に送信する必要があります。
#### 認可 URL の例
##### パラメーター
カスタム API を呼び出す際にユーザーを認可する場合は、次の点に注意してください。
* `audience` パラメーターを含める必要があります
* 対象 API でサポートされている追加のスコープを含めることができます
| パラメーター名 | 説明 |
| --------------- | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| `response_type` | Auth0 が返す認証情報の種類 (`code` または `token`) を示します。このフローでは、値は `code` である必要があります。 |
| `client_id` | アプリケーションのクライアントIDです。この値は [Application Settings](https://manage.auth0.com/#/Applications/\{yourClientId}/settings) で確認できます。 |
| `redirect_uri` | ユーザーが認可を付与した後に、Auth0 がブラウザーをリダイレクトする URL です。認可コードは URL パラメーター `code` で利用できます。この URL は、[Application Settings](https://manage.auth0.com/#/Applications/\{yourClientId}/settings) で有効な callback URL として指定する必要があります。
**警告:** [OAuth 2.0 Specification](https://tools.ietf.org/html/rfc6749#section-3.1.2) に従い、Auth0 はハッシュ以降のすべてを削除し、フラグメントは *無視* します。 |
| `scope` | 認可をリクエストする [スコープ](/ja/docs/get-started/apis/scopes) を指定します。これにより、返される claims (またはユーザー属性) が決まります。これらはスペース区切りで指定する必要があります。`profile` や `email` など、ユーザーに関する任意の [標準 OpenID Connect (OIDC) スコープ](https://openid.net/specs/openid-connect-core-1_0.html#StandardClaims)、[名前空間付き形式](/ja/docs/secure/tokens/json-web-tokens/create-custom-claims) に準拠した [カスタムクレーム](/ja/docs/secure/tokens/json-web-tokens/json-web-token-claims#custom-claims)、または対象 API でサポートされている任意のスコープ (例: `read:contacts`) をリクエストできます。[リフレッシュトークン](/ja/docs/glossary?term=Refresh+Token) を取得するには `offline_access` を含めてください ([Application Settings](https://manage.auth0.com/#/applications) で **Allow Offline Access** フィールドが有効になっていることを確認してください) 。 |
| `audience` | Web アプリケーションがアクセスする API の一意の識別子です。このチュートリアルの前提条件の一部として作成した API の [Settings](https://manage.auth0.com/#/apis) タブにある **Identifier** の値を使用します。 |
| `state` | (推奨) アプリケーションが初回リクエストに追加する、不透明な任意の英数字文字列です。Auth0 は、アプリケーションにリダイレクトして戻る際にこの値を含めます。この値を使用して Cross-site Request Forgery (CSRF) 攻撃を防ぐ方法については、[Mitigate CSRF Attacks With State Parameters](/ja/docs/secure/attack-protection/state-parameters) を参照してください。 |
| `organization` | (任意) ユーザーの認証時に使用する組織の ID です。これが指定されていない場合、アプリケーションが **Display Organization Prompt** を表示するよう設定されていれば、ユーザーは認証時に組織名を入力できます。 |
| `invitation` | (任意) 組織への招待のチケット ID です。[組織にメンバーを招待する](/ja/docs/manage-users/organizations/configure-organizations/invite-members) 場合、ユーザーが招待を承諾した際に、アプリケーションは `invitation` と `organization` のキーと値のペアを転送して、招待の承諾を処理する必要があります。 |
たとえば、アプリケーションにログインを追加する場合の認可 URL の HTML スニペットは、次のようになります。
#### レスポンス
正常に処理されると、`HTTP 302` レスポンスを受け取ります。認可コードは URL の末尾に含まれます。
```http lines theme={null}
HTTP/1.1 302 Found
Location: {https://yourApp/callback}?code={authorizationCode}&state=xyzABC123
```
認可コードを取得できたら、それをトークンと交換します。前のステップで取得した認可コード (`code`) を使用して、[トークンURL](https://auth0.com/docs/api/authentication#authorization-code)に`POST`リクエストを送信してください。
#### トークンURLへのPOSTの例
```bash cURL theme={null}
curl --request POST \
--url 'https://{yourDomain}/oauth/token' \
--header 'content-type: application/x-www-form-urlencoded' \
--data grant_type=authorization_code \
--data 'client_id={yourClientId}' \
--data 'client_secret={yourClientSecret}' \
--data 'code={yourAuthorizationCode}' \
--data 'redirect_uri={https://yourApp/callback}'
```
```csharp C# theme={null}
var client = new RestClient("https://{yourDomain}/oauth/token");
var request = new RestRequest(Method.POST);
request.AddHeader("content-type", "application/x-www-form-urlencoded");
request.AddParameter("application/x-www-form-urlencoded", "grant_type=authorization_code&client_id={yourClientId}&client_secret=%7ByourClientSecret%7D&code=yourAuthorizationCode%7D&redirect_uri={https://yourApp/callback}", ParameterType.RequestBody);
IRestResponse response = client.Execute(request);
```
```go Go theme={null}
package main
import (
"fmt"
"strings"
"net/http"
"io/ioutil"
)
func main() {
url := "https://{yourDomain}/oauth/token"
payload := strings.NewReader("grant_type=authorization_code&client_id={yourClientId}&client_secret=%7ByourClientSecret%7D&code=yourAuthorizationCode%7D&redirect_uri={https://yourApp/callback}")
req, _ := http.NewRequest("POST", url, payload)
req.Header.Add("content-type", "application/x-www-form-urlencoded")
res, _ := http.DefaultClient.Do(req)
defer res.Body.Close()
body, _ := ioutil.ReadAll(res.Body)
fmt.Println(res)
fmt.Println(string(body))
}
```
```java Java theme={null}
HttpResponse response = Unirest.post("https://{yourDomain}/oauth/token")
.header("content-type", "application/x-www-form-urlencoded")
.body("grant_type=authorization_code&client_id={yourClientId}&client_secret=%7ByourClientSecret%7D&code=yourAuthorizationCode%7D&redirect_uri={https://yourApp/callback}")
.asString();
```
```javascript Node.JS theme={null}
var axios = require("axios").default;
var options = {
method: 'POST',
url: 'https://{yourDomain}/oauth/token',
headers: {'content-type': 'application/x-www-form-urlencoded'},
data: new URLSearchParams({
grant_type: 'authorization_code',
client_id: '{yourClientId}',
client_secret: '{yourClientSecret}',
code: 'yourAuthorizationCode}',
redirect_uri: '{https://yourApp/callback}'
})
};
axios.request(options).then(function (response) {
console.log(response.data);
}).catch(function (error) {
console.error(error);
});
```
```php PHP theme={null}
$curl = curl_init();
curl_setopt_array($curl, [
CURLOPT_URL => "https://{yourDomain}/oauth/token",
CURLOPT_RETURNTRANSFER => true,
CURLOPT_ENCODING => "",
CURLOPT_MAXREDIRS => 10,
CURLOPT_TIMEOUT => 30,
CURLOPT_HTTP_VERSION => CURL_HTTP_VERSION_1_1,
CURLOPT_CUSTOMREQUEST => "POST",
CURLOPT_POSTFIELDS => "grant_type=authorization_code&client_id={yourClientId}&client_secret=%7ByourClientSecret%7D&code=yourAuthorizationCode%7D&redirect_uri={https://yourApp/callback}",
CURLOPT_HTTPHEADER => [
"content-type: application/x-www-form-urlencoded"
],
]);
$response = curl_exec($curl);
$err = curl_error($curl);
curl_close($curl);
if ($err) {
echo "cURL Error #:" . $err;
} else {
echo $response;
}
```
```python Python theme={null}
import http.client
conn = http.client.HTTPSConnection("")
payload = "grant_type=authorization_code&client_id={yourClientId}&client_secret=%7ByourClientSecret%7D&code=yourAuthorizationCode%7D&redirect_uri={https://yourApp/callback}"
headers = { 'content-type': "application/x-www-form-urlencoded" }
conn.request("POST", "/{yourDomain}/oauth/token", payload, headers)
res = conn.getresponse()
data = res.read()
print(data.decode("utf-8"))
```
```ruby Ruby theme={null}
require 'uri'
require 'net/http'
require 'openssl'
url = URI("https://{yourDomain}/oauth/token")
http = Net::HTTP.new(url.host, url.port)
http.use_ssl = true
http.verify_mode = OpenSSL::SSL::VERIFY_NONE
request = Net::HTTP::Post.new(url)
request["content-type"] = 'application/x-www-form-urlencoded'
request.body = "grant_type=authorization_code&client_id={yourClientId}&client_secret=%7ByourClientSecret%7D&code=yourAuthorizationCode%7D&redirect_uri={https://yourApp/callback}"
response = http.request(request)
puts response.read_body
```
##### パラメーター
| パラメーター名 | 説明 |
| --------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| `grant_type` | `authorization_code`に設定します。 |
| `code` | このチュートリアルの前の手順で取得した`authorization_code`。 |
| `client_id` | アプリケーションのクライアントIDです。この値は [Application Settings](https://manage.auth0.com/#/Applications/\{yourClientId}/settings) で確認できます。 |
| `client_secret` | アプリケーションのクライアントシークレットです。この値は、[Application Settings](https://manage.auth0.com/#/Applications/\{yourClientId}/settings) で確認できます。利用可能なアプリケーションの認証方法について詳しくは、[Application Credentials](/ja/docs/secure/application-credentials) を参照してください。 |
| `redirect_uri` | Application Settings で設定した有効な callback URL。これは、このチュートリアルの前の手順で認可 URL に渡した `redirect_uri` と完全に一致する必要があります。なお、URL エンコードしておく必要があります。 |
#### レスポンス
問題がなければ、`access_token`、`refresh_token`、`id_token`、`token_type` の値を含むペイロードとともに `HTTP 200` レスポンスが返されます。
```json lines theme={null}
{
"access_token": "eyJz93a...k4laUWw",
"refresh_token": "GEbRxBN...edjnXbL",
"id_token": "eyJ0XAi...4faeEoQ",
"token_type": "Bearer"
}
```
保存する前に、トークンを検証してください。手順については、[IDトークンを検証する](/ja/docs/secure/tokens/id-tokens/validate-id-tokens) と [アクセストークンを検証する](/ja/docs/secure/tokens/access-tokens/validate-access-tokens) を参照してください。
[IDトークン](/ja/docs/secure/tokens/id-tokens)には、デコードして取り出す必要があるユーザー情報が含まれています。
[アクセストークン](/ja/docs/secure/tokens/access-tokens)は、[Auth0 Authentication APIの /userinfo エンドポイント](https://auth0.com/docs/api/authentication#get-user-info)または他のAPIを呼び出す際に使用します。独自のAPIを呼び出す場合、APIで最初に行う必要があるのは[アクセストークンの検証](/ja/docs/secure/tokens/access-tokens/validate-access-tokens)です。
[リフレッシュトークン](/ja/docs/secure/tokens/refresh-tokens)は、以前のアクセストークンまたはIDトークンの有効期限が切れた後に、新しいトークンを取得するために使用されます。`refresh_token`がレスポンスに含まれるのは、`offline_access`スコープを含め、かつDashboardでAPIの**Allow Offline Access**を有効にしている場合のみです。
リフレッシュトークンは、ユーザーが実質的に半永久的に認証済みの状態を維持できるため、厳重に保管する必要があります。
通常の Web アプリケーションから API を呼び出すには、HTTP リクエストの Authorization ヘッダーで、取得したアクセストークンを Bearer トークンとして渡す必要があります。
```bash cURL lines theme={null}
curl --request GET \
--url https://myapi.com/api \
--header 'authorization: Bearer {accessToken}' \
--header 'content-type: application/json'
```
```csharp C# lines theme={null}
var client = new RestClient("https://myapi.com/api");
var request = new RestRequest(Method.GET);
request.AddHeader("content-type", "application/json");
request.AddHeader("authorization", "Bearer {accessToken}");
IRestResponse response = client.Execute(request);
```
```go Go lines expandable theme={null}
package main
import (
"fmt"
"net/http"
"io/ioutil"
)
func main() {
url := "https://myapi.com/api"
req, _ := http.NewRequest("GET", url, nil)
req.Header.Add("content-type", "application/json")
req.Header.Add("authorization", "Bearer {accessToken}")
res, _ := http.DefaultClient.Do(req)
defer res.Body.Close()
body, _ := ioutil.ReadAll(res.Body)
fmt.Println(res)
fmt.Println(string(body))
}
```
```java Java lines theme={null}
HttpResponse response = Unirest.get("https://myapi.com/api")
.header("content-type", "application/json")
.header("authorization", "Bearer {accessToken}")
.asString();
```
```javascript Node.JS lines theme={null}
var axios = require("axios").default;
var options = {
method: 'GET',
url: 'https://myapi.com/api',
headers: {'content-type': 'application/json', authorization: 'Bearer {accessToken}'}
};
axios.request(options).then(function (response) {
console.log(response.data);
}).catch(function (error) {
console.error(error);
});
```
```php PHP lines expandable theme={null}
$curl = curl_init();
curl_setopt_array($curl, [
CURLOPT_URL => "https://myapi.com/api",
CURLOPT_RETURNTRANSFER => true,
CURLOPT_ENCODING => "",
CURLOPT_MAXREDIRS => 10,
CURLOPT_TIMEOUT => 30,
CURLOPT_HTTP_VERSION => CURL_HTTP_VERSION_1_1,
CURLOPT_CUSTOMREQUEST => "GET",
CURLOPT_HTTPHEADER => [
"authorization: Bearer {accessToken}",
"content-type: application/json"
],
]);
$response = curl_exec($curl);
$err = curl_error($curl);
curl_close($curl);
if ($err) {
echo "cURL Error #:" . $err;
} else {
echo $response;
}
```
```python Python lines theme={null}
import http.client
conn = http.client.HTTPSConnection("myapi.com")
headers = {
'content-type': "application/json",
'authorization': "Bearer {accessToken}"
}
conn.request("GET", "/api", headers=headers)
res = conn.getresponse()
data = res.read()
print(data.decode("utf-8"))
```
```ruby Ruby lines theme={null}
require 'uri'
require 'net/http'
require 'openssl'
url = URI("https://myapi.com/api")
http = Net::HTTP.new(url.host, url.port)
http.use_ssl = true
http.verify_mode = OpenSSL::SSL::VERIFY_NONE
request = Net::HTTP::Get.new(url)
request["content-type"] = 'application/json'
request["authorization"] = 'Bearer {accessToken}'
response = http.request(request)
puts response.read_body
```
このチュートリアルに従って以下の手順を完了している場合、すでに[リフレッシュトークン](/ja/docs/secure/tokens/refresh-tokens)を取得しています。
* API でオフラインアクセスを許可するように設定した
* [認可エンドポイント](https://auth0.com/docs/api/authentication/reference#authorize-application) 経由で認証リクエストを開始する際に、`offline_access` スコープを含めていました。
リフレッシュトークンを使用して新しいアクセストークンを取得できます。通常、ユーザーが新しいアクセストークンを必要とするのは、以前のトークンが期限切れになった場合や、新しいリソースに初めてアクセスする場合のみです。APIを呼び出すたびにエンドポイントを呼び出して新しいアクセストークンを取得するのはベストプラクティスに反します。Auth0では、同一IPから同一トークンを使用してエンドポイントに送信できるリクエスト数を制限するレート制限が設けられています。
トークンを更新するには、`grant_type=refresh_token` を使用して、Authentication API の `/oauth/token` エンドポイントに `POST` リクエストを送信します。
##### トークンURLへのPOSTの例
```bash cURL theme={null}
curl --request POST \
--url 'https://{yourDomain}/oauth/token' \
--header 'content-type: application/x-www-form-urlencoded' \
--data grant_type=refresh_token \
--data 'client_id={yourClientId}' \
--data 'refresh_token={yourRefreshToken}'
```
```csharp C# theme={null}
var client = new RestClient("https://{yourDomain}/oauth/token");
var request = new RestRequest(Method.POST);
request.AddHeader("content-type", "application/x-www-form-urlencoded");
request.AddParameter("application/x-www-form-urlencoded", "grant_type=refresh_token&client_id={yourClientId}&refresh_token=%7ByourRefreshToken%7D", ParameterType.RequestBody);
IRestResponse response = client.Execute(request);
```
```go Go theme={null}
package main
import (
"fmt"
"strings"
"net/http"
"io/ioutil"
)
func main() {
url := "https://{yourDomain}/oauth/token"
payload := strings.NewReader("grant_type=refresh_token&client_id={yourClientId}&refresh_token=%7ByourRefreshToken%7D")
req, _ := http.NewRequest("POST", url, payload)
req.Header.Add("content-type", "application/x-www-form-urlencoded")
res, _ := http.DefaultClient.Do(req)
defer res.Body.Close()
body, _ := ioutil.ReadAll(res.Body)
fmt.Println(res)
fmt.Println(string(body))
}
```
```java Java theme={null}
HttpResponse response = Unirest.post("https://{yourDomain}/oauth/token")
.header("content-type", "application/x-www-form-urlencoded")
.body("grant_type=refresh_token&client_id={yourClientId}&refresh_token=%7ByourRefreshToken%7D")
.asString();
```
```javascript Node.JS theme={null}
var axios = require("axios").default;
var options = {
method: 'POST',
url: 'https://{yourDomain}/oauth/token',
headers: {'content-type': 'application/x-www-form-urlencoded'},
data: new URLSearchParams({
grant_type: 'refresh_token',
client_id: '{yourClientId}',
refresh_token: '{yourRefreshToken}'
})
};
axios.request(options).then(function (response) {
console.log(response.data);
}).catch(function (error) {
console.error(error);
});
```
```php PHP theme={null}
$curl = curl_init();
curl_setopt_array($curl, [
CURLOPT_URL => "https://{yourDomain}/oauth/token",
CURLOPT_RETURNTRANSFER => true,
CURLOPT_ENCODING => "",
CURLOPT_MAXREDIRS => 10,
CURLOPT_TIMEOUT => 30,
CURLOPT_HTTP_VERSION => CURL_HTTP_VERSION_1_1,
CURLOPT_CUSTOMREQUEST => "POST",
CURLOPT_POSTFIELDS => "grant_type=refresh_token&client_id={yourClientId}&refresh_token=%7ByourRefreshToken%7D",
CURLOPT_HTTPHEADER => [
"content-type: application/x-www-form-urlencoded"
],
]);
$response = curl_exec($curl);
$err = curl_error($curl);
curl_close($curl);
if ($err) {
echo "cURL Error #:" . $err;
} else {
echo $response;
}
```
```python Python theme={null}
import http.client
conn = http.client.HTTPSConnection("")
payload = "grant_type=refresh_token&client_id={yourClientId}&refresh_token=%7ByourRefreshToken%7D"
headers = { 'content-type': "application/x-www-form-urlencoded" }
conn.request("POST", "/{yourDomain}/oauth/token", payload, headers)
res = conn.getresponse()
data = res.read()
print(data.decode("utf-8"))
```
```ruby Ruby theme={null}
require 'uri'
require 'net/http'
require 'openssl'
url = URI("https://{yourDomain}/oauth/token")
http = Net::HTTP.new(url.host, url.port)
http.use_ssl = true
http.verify_mode = OpenSSL::SSL::VERIFY_NONE
request = Net::HTTP::Post.new(url)
request["content-type"] = 'application/x-www-form-urlencoded'
request.body = "grant_type=refresh_token&client_id={yourClientId}&refresh_token=%7ByourRefreshToken%7D"
response = http.request(request)
puts response.read_body
```
###### パラメーター
| パラメーター名 | 説明 |
| --------------- | -------------------------------------------------------------------------------------------------------------- |
| `grant_type` | これを`refresh_token`に設定してください。 |
| `client_id` | ご利用のアプリケーションのクライアントIDです。[アプリケーション設定](https://manage.auth0.com/#/Applications/\{yourClientId}/settings)で確認できます。 |
| `refresh_token` | 使用するリフレッシュトークンです。 |
| `scope` | (任意) 要求するスコープ権限のスペース区切りリストです。送信しない場合は元のスコープが使用されます。送信した場合は、より限定されたスコープのセットを要求できます。なお、これは URL エンコードする必要があります。 |
###### レスポンス
正常に完了した場合、新しい `access_token`、その有効期間 (秒単位) (`expires_in`) 、付与された `scope` の値、および `token_type` を含むペイロードとともに `HTTP 200` レスポンスが返されます。最初のトークンのスコープに `openid` が含まれていた場合、レスポンスには新しい `id_token` も含まれます。
```json lines theme={null}
{
"access_token": "eyJ...MoQ",
"expires_in": 86400,
"scope": "openid offline_access",
"id_token": "eyJ...0NE",
"token_type": "Bearer"
}
```
保存する前に、トークンを検証してください。方法については、[IDトークンを検証する](/ja/docs/secure/tokens/id-tokens/validate-id-tokens)および[アクセストークンを検証する](/ja/docs/secure/tokens/access-tokens/validate-access-tokens)を参照してください。
### 使用例
#### トークンをカスタマイズする
Auth0 Actions を使用すると、アクセストークンのスコープを変更したり、アクセストークンや IDトークンにカスタムクレームを追加したりできます。Actions の詳細については、[Auth0 Actions の仕組みを理解する](/ja/docs/customize/actions/actions-overview) を参照してください。
これを行うには、次の Post-Login Action を追加します。これは、ユーザーの認証後に実行されます。
```js lines theme={null}
exports.onExecutePostLogin = async (event, api) => {
// アクセストークンとIDトークンにカスタムクレームを追加する
api.accessToken.setCustomClaim('https://foo/bar', 'value');
api.idToken.setCustomClaim('https://fiz/baz', 'some other value');
// アクセストークンのスコープを変更する
api.accessToken.addScope('foo');
api.accessToken.addScope('bar');
};
```
Auth0 は、[OpenID Connect (OIDC) 仕様](https://openid.net/specs/openid-connect-core-1_0.html#StandardClaims)で定義されているとおり、ユーザープロファイル情報を構造化されたクレーム形式で返します。そのため、IDトークンまたはアクセストークンに追加するカスタムクレームは、競合の可能性を避けるために[ガイドラインと制限事項に準拠する](/ja/docs/secure/tokens/json-web-tokens/create-custom-claims)必要があります。
## 詳しく見る
* [OAuth 2.0 認可フレームワーク](/ja/docs/authenticate/protocols/oauth)
* [OpenID Connect プロトコル](/ja/docs/authenticate/protocols/openid-connect-protocol)
* [トークン](/ja/docs/secure/tokens)