例とトラブルシューティング

断片はプロトコルの対照用です。実行できる完全なスクリプトは「Python の最小実行例」にあります。定数は実際の値に置き換えてください。

ディスカバリ文書

curl -sS https://api-passport.swaymoon.com/.well-known/openid-configuration | jq .

authorization_endpoint、token_endpoint、userinfo_endpoint、jwks_uri、id_token_signing_alg_values_supported などのフィールドを確認してください。

認可 URL（ブラウザ遷移）

https://api-passport.swaymoon.com/oauth2/authorize
  ?response_type=code
  &client_id=swm_YOUR_CLIENT_ID
  &redirect_uri=https%3A%2F%2Fapp.example.com%2Fcallback
  &scope=openid%20name%20picture%20email
  &state=YOUR_STATE
  &code_challenge=YOUR_CHALLENGE
  &code_challenge_method=S256

URL を組み立てるとき、クエリパラメータは一度だけエンコードしてください。アドレスバーに redirect_uri=http%253A%252F%252F… が出るのは二重エンコードです。サーバーは字面どおり検証して失敗します。

トークン交換：機密クライアント（curl）

ISSUER=https://api-passport.swaymoon.com
CLIENT_ID='swm_YOUR_CLIENT_ID'
CLIENT_SECRET='YOUR_SECRET'
CODE='...'
VERIFIER='...'
REDIRECT='https://app.example.com/callback'

curl -sS -u "$CLIENT_ID:$CLIENT_SECRET" \
  -X POST "$ISSUER/oauth2/token" \
  -H 'Content-Type: application/x-www-form-urlencoded' \
  --data-urlencode "grant_type=authorization_code" \
  --data-urlencode "code=$CODE" \
  --data-urlencode "redirect_uri=$REDIRECT" \
  --data-urlencode "code_verifier=$VERIFIER"

トークン交換：JWT アサーションクライアント（curl）

先にバックエンドで秘密鍵を使って client_assertion に署名します（秘密鍵をシェル履歴に書かないでください）。Python の例：

import time, uuid
from jwcrypto import jwk, jwt  # pip install jwcrypto

key = jwk.JWK.from_json(open("private.jwk.json").read())  # d を含む秘密鍵。ポータルへ提出しない
now = int(time.time())
token = jwt.JWT(
    header={"alg": "ES256", "kid": key["kid"], "typ": "JWT"},
    claims={
        "iss": "swm_YOUR_CLIENT_ID",
        "sub": "swm_YOUR_CLIENT_ID",
        "aud": "https://api-passport.swaymoon.com/oauth2/token",
        "jti": str(uuid.uuid4()),
        "iat": now,
        "exp": now + 300,
    },
)
token.make_signed_token(key)
assertion = token.serialize()

続けて：

ISSUER=https://api-passport.swaymoon.com
CLIENT_ID='swm_YOUR_CLIENT_ID'
CODE='...'
VERIFIER='...'
REDIRECT='https://app.example.com/callback'
ASSERTION='...'   # 前の手順で署名した JWT

curl -sS \
  -X POST "$ISSUER/oauth2/token" \
  -H 'Content-Type: application/x-www-form-urlencoded' \
  --data-urlencode "grant_type=authorization_code" \
  --data-urlencode "code=$CODE" \
  --data-urlencode "redirect_uri=$REDIRECT" \
  --data-urlencode "client_id=$CLIENT_ID" \
  --data-urlencode "code_verifier=$VERIFIER" \
  --data-urlencode "client_assertion_type=urn:ietf:params:oauth:client-assertion-type:jwt-bearer" \
  --data-urlencode "client_assertion=$ASSERTION"

aud はディスカバリ文書の token_endpoint と一致させてください。更新時は grant_type を refresh_token にし、新しいアサーション（新しい jti / iat / exp）を署名します。

トークン交換：非機密クライアント（curl）

ISSUER=https://api-passport.swaymoon.com
CLIENT_ID='swm_YOUR_CLIENT_ID'
CODE='...'
VERIFIER='...'
REDIRECT='https://app.example.com/callback'

curl -sS \
  -X POST "$ISSUER/oauth2/token" \
  -H 'Content-Type: application/x-www-form-urlencoded' \
  --data-urlencode "grant_type=authorization_code" \
  --data-urlencode "code=$CODE" \
  --data-urlencode "redirect_uri=$REDIRECT" \
  --data-urlencode "client_id=$CLIENT_ID" \
  --data-urlencode "code_verifier=$VERIFIER"

UserInfo（curl）

curl -sS https://api-passport.swaymoon.com/userinfo \
  -H "Authorization: Bearer $ACCESS_TOKEN"

トークンの更新（機密クライアント）

curl -sS -u "$CLIENT_ID:$CLIENT_SECRET" \
  -X POST "$ISSUER/oauth2/token" \
  -H 'Content-Type: application/x-www-form-urlencoded' \
  --data-urlencode "grant_type=refresh_token" \
  --data-urlencode "refresh_token=$REFRESH_TOKEN"

よくある質問

連携のヒント

• エンドポイントはディスカバリ文書から取り、パスをハードコードしない。
• 完全なローカルスクリプト：「Python の最小実行例」。
• サインインと認可確認はブラウザで行う。機密および JWT アサーションクライアントのトークン交換と UserInfo はサーバーで行う。
• 本番の Issuer とフロントドメインはそれぞれ api-passport.swaymoon.com と passport.swaymoon.com。

サポート

• ユーザードキュメント：デベロッパモードをオフにし、「ガイド」と「法律」を見る。
• デベロッパポータル：develop.swaymoon.com
• 連絡先：hello@swaymoon.com（公開チャネルに平文の client_secret を送らない。問題を説明するときはマスクする）