【完全図解】知らなきゃ事故る「認証と認可」の違い｜リダイレクトの数ミリ秒を狙う攻撃と防御術
公開日 2026.11.10
ログイン画面は本物。パスワードも盗まれていない。二段階認証も済ませた。 それでも、別のアプリにメールを読まれることがあります。鍵になるのは、「本人かどうか」と「何を許すか」の違いです。 この動画では、「Canva」と「Google Photo」を使って、OAuthとOpenID Connectの仕組みを図解します。認可コードとアクセストークン、PKCE、IDトークンの署名と宛先、stateとnonceを、通信の全体像と一緒に追っていきます。 最後に、ログアウトと連携解除が別の操作である理由、許可画面で確かめたい点を整理します。 タイムライン 参考資料 OAuth 2.0 / RFC 6749 https://www.rfc-editor.org/rfc/rfc6749 PKCE / RFC 7636 https://www.rfc-editor.org/rfc/rfc7636 OAuthのセキュリティ推奨事項 / RFC 9700 https://www.rfc-editor.org/rfc/rfc9700 OpenID Connect Core 1.0 https://openid.net/specs/openid-connect-core-1_0.html OAuth 2.1（2026年11月8日確認時点のInternet-Draft） https://datatracker.ietf.org/doc/draft-ietf-oauth-v2-1/17/
YouTubeで見る動画のページ · 別タブで開く