PR：この記事にはアフィリエイトリンクが含まれます。
Web APIのログイン機能は、サインインボタンを置けば完成、というものではありません。利用者本人を確かめる認証と、どのAPIを使えるか決める認可。この二つを分けて考え、トークンやセッションまで設計して、ようやく実運用に耐える形になります。
OAuth 2.0とOpenID Connect（OIDC）は一緒に語られますが、役割は異なります。OAuth 2.0はAPIへのアクセス権を委ねる仕組みで、OIDCはログイン時の本人確認を扱う拡張です。仕組みから実装上の注意点まで、5冊の内容を手がかりに整理します。
各書籍の焦点を表にまとめました。ID管理全体を扱う本もあれば、特定のフレームワークやAPIセキュリティを深く扱う本もあります。
| 書籍 | 主な読者・テーマ |
|---|---|
 はじめてのデジタルアイデンティティ ―Webサービスに欠かせない認証・認可・ID管理 | ID管理の全体像、登録からアカウント回復まで |
 OpenID Connect入門 ――アプリケーション開発者のための実践技術解説 | OIDCの実装、各種アプリ構成とセキュリティ |
 OAuth 2.0実装入門 安全なAPI認可の実現方法 | 認可コードフロー、state、PKCE、テスト |
 Spring Security in Action, Second Edition | Spring Securityでの認証・認可の実装 |
 Secure APIs: Design, build, and implement | APIリスク、OAuthとOIDC、監視と脅威対応 |
認証と認可
認証は利用者本人を確かめる処理です。パスワードやパスキー、外部IDプロバイダーなどを使ってログインした人を確認します。認可では、その人に何を許すかを決定。二つの役目は別々です。
OAuth 2.0を使うと、利用者のパスワードをアプリに渡さず、トークンでAPIへのアクセス権を委ねられます。写真アプリに写真一覧の読み取りだけを許す、といった使い方ですね。ログインの確認とAPIを使う許可を混ぜないための仕組みです。
OIDCはOAuth 2.0の認可機能を使い、利用者の認証結果を扱う標準を加えます。クライアントはIDトークンなどを受け取ってログインを確認します。外部サービスのログインを自社アプリに組み込む際は、この役割関係を押さえましょう。
認証に成功しても、すべてのAPIを呼べるわけではありません。会員が自分の請求情報を見られるか、管理者が設定を変更できるかは別に確認します。スコープとデータ単位の権限を分けて設定することが大切です。
トークンの役割
アクセストークンはAPIへのアクセス権を確かめるために使い、IDトークンはクライアントがログイン結果を確認するためのものです。用途や宛先を取り違えると、認証情報をAPIの認可に流用しかねません。受け取ったトークンの役割を確かめてください。
一般的な署名付きJWTは、内容を暗号化しません。署名で改ざんを検出できても、秘密は隠れないということです。個人情報などを不用意に含めず、受信側で署名、発行者、有効期限、宛先を検証します。
アクセストークンの有効期間は、必要以上に長くしないのが基本です。長期利用を支えるリフレッシュトークンには、ローテーションや失効の運用が伴います。古いトークンの再利用を検知できれば、漏えい後の悪用を見つける手がかりになります。
スコープはAPIを呼べる範囲を示しますが、利用者が特定データの所有者かまでは必ずしも示しません。注文APIではトークン検証に加え、注文IDがログイン中の利用者に属しているかを確認します。エンドポイントごとの認可も必要です。
攻撃を防ぐ設計
認可コードフローでは、クライアントが認可コードを受け取り、トークンと交換します。PKCEはコード交換を特定のリクエストに結び付け、途中でコードを盗まれた場合の悪用を防ぎます。ブラウザーやネイティブアプリにも有効な対策です。
stateは認可リクエストと戻りの応答を結び付け、CSRF対策に使います。OIDCのnonceは、IDトークンが意図した認証リクエストに対応するかを確かめる値です。二つの役割を理解すれば、設定値を漫然と追加せずに済みます。
リダイレクトURIを広く許可すると、認可コードが攻撃者の用意した宛先へ送られるおそれがあります。許可先を絞り、オープンリダイレクターを作らないこと。複数の認可サーバーを扱う場合は、Mix-Up攻撃への備えも必要です。
CORSはブラウザーからのアクセスを制御します。APIの認可は別の仕組みで判断し、Cookieを使う構成ではCSRF対策も加えます。アクセストークンをログやURLに残さず、通信をTLSで保護すること。周辺の扱いまで含めて安全性を考えます。
全体像をつかむ
『はじめてのデジタルアイデンティティ ―Webサービスに欠かせない認証・認可・ID管理』は、デジタルアイデンティティに詳しくないエンジニア向けの入門書です。2026年1月7日発行、160ページ・A5判。登録からログアウト、アカウント回復まで扱います。
OAuth 2.0やOIDCに加え、パスキーもID管理の枠組みで扱います。アクセス制御、セッション管理、プライバシーも含まれるため、サービス全体の課題を整理したい人におすすめです。個別の認証方式にとどまらず、IDのライフサイクルを見渡せます。
参考価格は税込2,420円です。希望小売価格の目安で、実売価格は時期や店舗によって変わります。概念から学びたい人には、分量を抑えた本書が入口になります。企画や運用にも関わるエンジニアに合う内容です。
登録・ログイン・復旧を含めたID管理を理解したいなら、本書を最初に読むとよいでしょう。認証方式をすぐに実装する必要がある人は、実装フローを扱う本と役割を分けてください。サービス全体を担当する際の整理に活用できます。
OIDC実装を深める
『OpenID Connect入門 ――アプリケーション開発者のための実践技術解説』は、OIDCをアプリケーションに組み込みたい開発者向けです。2026年2月24日発売の272ページ・A5判。OAuth 2.0による認可と、OIDCが加える認証の仕組みから学べます。
MPA、SPA、BFF、ネイティブアプリの認可コードフローを扱います。アプリの構成ごとに実装の流れを押さえられる内容です。SPAの知識だけで進めたあと、サーバー側の責務を見直すような手戻りを防ぐヒントになります。
PKCE、アクセストークンの検証、リフレッシュトークンのローテーションに加え、CSRFやMix-Up攻撃、オープンリダイレクター、aud確認も扱います。仕様の説明と脅威への対策がつながっており、どこで何を検証するか考えながら読めます。
Keycloak、SPA、BFF、Androidアプリ、APIサーバーの実装例を掲載しています。参考価格は税込3,300円で、希望小売価格の目安です。実売価格は時期や店舗によって変わります。OIDCの実装とセキュリティ対策まで学びたい開発者におすすめです。
OAuth実装を進める
『OAuth 2.0実装入門 安全なAPI認可の実現方法』は、初級から中級の開発者向けです。認可リクエスト、利用者認証、同意画面、クライアント実装、アクセストークンの発行まで、認可コードフローを順に追えます。
プロジェクト設定やテストコードも扱うため、概念を読むだけで終わりません。認可サーバー側とクライアント側の処理を、作業の流れに沿って把握したい人に合います。200ページで、実装課題を追いながら読み進められる分量です。
stateとPKCEによる強化、アクセストークンの発行・検証も範囲に入ります。認可コードが届いた後、応答を安全に結び付けてAPI側でトークンを確かめるところまで学べます。フローの理解を実装につなげたい人に役立つ一冊です。
OAuth用ライブラリをすでに導入していても、処理の流れを自分の言葉で説明するのは簡単ではありません。設定値とテストを照らし合わせれば、理解を深められます。動く構成を通じてOAuthの認可を学びたい人におすすめです。
Springに組み込む
『Spring Security in Action, Second Edition』は、JavaとSpringの経験がある開発者向けの第2版です。2024年4月発行、440ページ。Spring Boot 3向けに改訂され、OAuth 2.0とOIDCの役割、トークン、grant typeを扱います。
Spring Securityで認可サーバーやリソースサーバーを構成し、保護対象のエンドポイントを作る内容が中心です。既存のSpringアプリへ設定をどう組み込むか考えたい人に合います。仕様の概念とフレームワーク上の実装を行き来できます。
認可コードgrantとPKCE、クライアントクレデンシャル、リフレッシュトークンも取り上げます。利用者がログインするWebアプリからサービス間で動くAPIまで、異なるフローの用途を整理しながら学べます。
CSRFやCORS、セキュリティ設定のテストも扱います。Springの知識を生かし、認可サーバーやAPIを実際に組み立てたい人には本書がおすすめです。Javaで動く構成まで手を動かして理解できます。
API全体を守る
『Secure APIs: Design, build, and implement』はAPIセキュリティ全般を扱う英語の紙書籍です。2025年10月発行、376ページ。コード例はPythonで、開発者、アーキテクト、セキュリティ担当者、QAエンジニアを対象にしています。
認可コード、PKCE、クライアントクレデンシャル、デバイス認可、リフレッシュトークンなど、幅広いOAuthフローを扱います。OIDC、ロールベースアクセス制御、JWTも含まれ、API設計やリスク対策との関係を学べます。
OWASP Top 10 APIリスクのほか、API設計、監視、脅威対応も取り上げます。API公開後に異常をどう見つけ、対策につなげるかまで考えたいチームにおすすめです。OAuthのフローを短く学ぶ場合は、別の本のほうが読み進めやすいでしょう。
mTLSやProof of Possessionのような送信者制約付きトークンも扱い、トークンの悪用を抑える方法を学べます。英語とPythonの例を読み、APIの設計から運用まで幅広く学びたい人に適した一冊です。
結論
OAuth 2.0とOIDCを安全に使うには、認証と認可の役割を分け、APIの宛先やデータ単位の権限まで確かめることが欠かせません。フロー名を覚えたら、自分のシステムで誰がどのトークンを受け取り、どこで検証するか説明できるようにしましょう。
ID管理全体をつかむなら『はじめてのデジタルアイデンティティ』、OIDC実装なら『OpenID Connect入門』、OAuthの手順をコードとテストで追うなら『OAuth 2.0実装入門』がおすすめです。Springアプリには『Spring Security in Action』、API設計や監視には『Secure APIs』が合います。
学習の入口には全体像を扱う本を選び、担当する環境に合った専門書へ進むと知識をつなげられます。実装中なら、PKCE、トークン検証、データ単位の認可など、設計で曖昧な点を扱う一冊から読むのが近道です。
Amazon の PC をスコア化してみた
Amazonにある8〜14インチの小型WindowsタブレットやノートPCを、スペック別にスコア化して比較・ランキング。
