【入門編】 OAuth 2.0のリダイレクトURIの厳密なホワイトリスト管理 – 暗号理論・認証基盤 & エンドポイントセキュリティ防御ガイド

やあ、ようこそ。セキュリティの世界へ。
今日は「OAuth 2.0」という、現代のWebサービスにおいて「鍵の受け渡し」を担う非常に重要な仕組みと、その中でも特に見落とされがちな「帰り道の罠」について話をしよう。

堅苦しい定義は一旦置いておいて、まずは身近な例えから入っていこうか。

—

1. そもそも「OAuth 2.0」ってなに？：合鍵の受け渡しルール

想像してみてほしい。君が友人に「自分の家の荷物を整理してほしい」と頼むとする。でも、大切な家の「本物の鍵」を渡すのは怖いよね。

そこで君は、「荷物の部屋にだけ入れる、期間限定の合鍵」をその場で作って渡すことにした。これがOAuth 2.0の正体だ。

認可コード（Authorization Code）： 「合鍵を作るための引き換え券」
アクセストークン： 「本物の合鍵」

この仕組みがあれば、もし友人が悪さをしようとしても、君はすぐにその合鍵を無効化できる。安全だよね。

—

2. 泥棒が狙う「帰り道の罠（オープンリダイレクタ）」

さて、問題はここからだ。友人に合鍵（認可コード）を渡すとき、君は「終わったらこっちの玄関まで戻ってきてね」と指示を出す。これが「リダイレクトURI」だ。

もし、泥棒が君の「戻る場所」をすり替えていたらどうなるだろう？

本来は君の安全なサイトに戻るはずの認可コードが、泥棒が用意した「偽の玄関」に送られてしまうんだ。これを「オープンリダイレクタ脆弱性」と言う。認可コードが盗まれれば、泥棒は君のフリをして、君のデータにアクセスできてしまう。

これが、OAuth 2.0でリダイレクトURIを「完全一致」で管理しなければならない最大の理由なんだ。

—

3. どうやって防ぐ？：ホワイトリストの厳密な管理

防御の基本は「怪しい場所へは絶対に行かせない」こと。設定ファイルには、許可された戻り先だけを書き込んでおくんだ。

例えば、Webサーバーの設定やOAuthのクライアント設定で、以下のように「完全一致」を要求する設定にする必要がある。

悪い例（これだと泥棒に隙を与える）

https://app.example.com/callback?
（これだと後ろに何でもつけられるため、偽サイトへ誘導されるリスクがある）

良い例（厳密な指定）

https://app.example.com/oauth/callback
（このURLと1文字でも違えば、サーバーが通信を拒否するように設定する）

実務での設定イメージ（PHPでの検証例）

サーバー側でリダイレクト先を受け取った際、許可リストに含まれているかチェックするコードのイメージを見てみよう。

<?php
// 許可されているリダイレクト先リスト（ホワイトリスト）
$allowed_uris = [
    'https://app.example.com/oauth/callback',
    'https://app.example.com/login/success'
];

$requested_uri = $_GET['redirect_uri'];

// ホワイトリストに含まれているか厳密にチェック
if (!in_array($requested_uri, $allowed_uris, true)) {
    // リストにない場合はエラーを返して処理を中断する
    die("エラー：許可されていないリダイレクト先です。");
}

// ここで初めて認可コードを渡す処理を行う
echo "認証成功！元の場所へ戻ります...";
?>

—

4. セキュリティ担当者からのアドバイス

「たかがURLじゃないか」と思うかもしれないけれど、サイバー攻撃者は常にこの「ほんの少しの隙間」を探している。

以下のポイントを必ず覚えておいてほしい。

ワイルドカードは使わない： https://*.example.com/* のような設定は、攻撃者が https://attacker.example.com を作って悪用できるため、原則禁止だ。
完全一致（Exact Matching）： リダイレクト先は必ず「1文字のズレも許さない」設定にするのが鉄則だよ。
HTTPSを強制する： 暗号化されていない http は、途中で誰かに盗み見られるリスクがある。鍵の受け渡しは必ず安全なトンネル（TLS）の中で行おう。

—

最後に：セキュリティは「疑う」ことから始まる

新人の君たちが、こうして「なぜこの設定が必要なのか？」を考えること自体が、実は最も強力なセキュリティ対策なんだ。

システムは君が設定した通りにしか動かない。だからこそ、泥棒がどんな風に悪だくみを考えているか、少しだけ想像を巡らせてみてほしい。そうすれば、自然と「許可された場所だけを通す」というホワイトリスト管理の大切さが分かってくるはずだ。

一歩ずつでいい、一緒に堅牢なサービスを作っていこう。また分からないことがあればいつでも聞いてくれ。