資格暗記無料で始める

認可コードグラントとPKCEとは？

認可コードグラントとPKCEとは、OAuth 2.0で、まずリダイレクト経由で短命な認可コードを受け取り、次にクライアントが認可サーバへ直接コードを送ってトークンへ交換する方式。PKCEは交換時に検証値の原文提示を求め、コードを盗まれても使えなくする拡張。

にんかこーどぐらんととぴくしー

情報処理安全確保支援士試験の頻出用語／午前II／別名：認可コードグラント、PKCE

認可コードグラントとPKCEの意味

OAuth 2.0で、まずリダイレクト経由で短命な認可コードを受け取り、次にクライアントが認可サーバへ直接コードを送ってトークンへ交換する方式。PKCEは交換時に検証値の原文提示を求め、コードを盗まれても使えなくする拡張。

認可コードグラントとPKCEの具体例

スマホアプリはcode_verifierを乱数生成し、そのSHA-256をcode_challengeとして認可要求に付ける。カスタムURLスキームの乗っ取りで認可コードを奪われても、verifierを知らない攻撃者はトークンへ交換できない。

認可コードグラントとPKCEは試験でどう引っ掛けられる？

インプリシットグラントはトークンがURLフラグメントに露出するため非推奨で、現在は公開クライアントでもPKCE付き認可コードが標準。stateパラメータはCSRF対策であり、PKCEとは守る対象が異なる。

認可コードグラントとPKCEと関連する用語

最終更新：2026-08-25／解説は資格暗記が独自に作成しています。 過去問の出典は各問題に記載のとおりです。