IDENTITY
Authorization Server
Spring Boot · Spring Authorization Server
ログイン、同意、PKCE検証からJWT・IDトークンの発行まで、認可フローの中核を担います。
01 / Architecture
役割を分離し、
信頼をつなぐ。
3つの独立サービスをNginxのHTTPSプロキシで束ねます。それぞれの責務と境界が、コードとログから明確に見える構成です。
authorization-server.local.gekal.cn
PROTECTED API
Resource Server
Spring Boot · OAuth2 Resource Server
JWKSでJWT署名を検証し、必要なスコープを持つリクエストだけを安全に処理します。
EXPERIENCE
Client Application
Next.js App Router · BFF
PKCEとトークンをサーバー側セッションで管理し、ブラウザへ秘密情報を露出させません。
ENTRYBrowser
HTTPSPROXYNginx
BFFSESSIONNext.js
PKCEIDENTITYSpring Auth
JWTRESOURCEProtected API
02 / Authorization flow
秘密をブラウザに
渡さない設計。
BFFがOAuthトランザクションとトークンを管理し、ブラウザには安全なセッションCookieだけを渡します。
- 01Challenge
PKCEを生成
BFFがcode_verifierを保存し、SHA-256からcode_challengeを生成します。
- 02Authorize
ログインと同意
Authorization Serverで本人確認を行い、profileスコープへの同意を取得します。
- 03Exchange
コードを交換
認可コードとcode_verifierを照合し、アクセストークンとIDトークンを発行します。
- 04Validate
JWTを検証
Resource Serverが署名、issuer、期限、スコープを検証してAPI応答を返します。
03 / Quick start
数分で、認証フローを
動かしてみる。
Docker Composeがアプリケーション、データベース、HTTPSプロキシをまとめて起動します。
~/auth-services-workspaceZSH
# リポジトリを取得
git clone git@github.com:gekal-study-auth/auth-services-workspace.git
cd auth-services-workspace
# すべてのサービスを起動
docker compose up -d --build
# ブラウザでクライアントを開く
open https://client-app.local.gekal.cn/検証ユーザー
user / password
同意画面
profileを選択して認可します。
APIログ
docker compose logs -fで通信を追跡できます。
Security note
学習・ローカル検証専用です。
ComposeではAPI本文ログが有効なため、パスワードやトークンも平文で記録されます。本番環境では本文ログを無効化し、秘密情報を外部のSecret管理へ移してください。