インプリシットフロー

認可コードを介さず、認可エンドポイントから直接アクセストークンを返すフロー。セキュリティ上の問題から現在は非推奨です。代わりに認可コード + PKCE フローを使用してください。

ステップ 1 / 425%

ブラウザ

クライアント

認可サーバー

リソースサーバー

>1. 認可リクエスト送信

<2. ユーザー認証・同意

<3. フラグメントでトークン返却

>4. リソースアクセス

ブラウザ→認可サーバー

クライアントが response_type=token で認可リクエストを送信します。トークンエンドポイントを使わず、直接トークンを受け取ります。

リクエスト概要

インプリシットフローの認可リクエスト

セキュリティ注意事項

GET/authorize

Body

response_type=token&client_id=my-spa-app&redirect_uri=https://example.com/callback&scope=openid profile&state=random-csrf-token