OpenID Connect フレームワーク fosite にコントリビュートしました

こんにちは。プロダクト基盤本部基盤グループの inari111 です。
私の部署は STORES 各プロダクトへ導入する ID 基盤の開発をしています。
今回は ID 基盤内で使われている OpenID Connect フレームワーク ory/fosite にコントリビュートしたことについて書きます。

ory/fosite とは

ory/fosite は OAuth2 & OpenID Connect の Go フレームワークです。
fosite が提供している interface を実装することで OpenID Connect の仕様を満たすことができます。

Pull request を出すきっかけ

リフレッシュトークンの有効期限が切れたときに意図していないエラーメッセージが返っていることがコードレビューで判明しました。
リポジトリを見に行くと Issue は立てられていたのですが Pull request は出されていない状態だったため、修正してみることにしました。

どんな不具合か

RFC6749 を確認したところ、リフレッシュトークンの有効期限切れのときは invalid_grant を返すのが正しそうですが、 invalid_request が返っている状態でした。

invalid_grant
The provided authorization grant (e.g., authorization
code, resource owner credentials) or refresh token is
invalid, expired, revoked, does not match the redirection
URI used in the authorization request, or was issued to
another client.

invalid_request
The request is missing a required parameter, includes an
unsupported parameter value (other than grant type),
repeats a parameter, includes multiple credentials,
utilizes more than one mechanism for authenticating the
client, or is otherwise malformed.

修正内容

出したPull requestはこちらです。
fix: handle invalid_token error for refresh_token is expired by inari111 · Pull Request #664 · ory/fosite

今回の修正で ValidateRefreshToken が fosite.ErrTokenExpired を返したら fosite.ErrInvalidGrant (invalid_grant) を返すようになっています。

// HandleTokenEndpointRequest implements https://tools.ietf.org/html/rfc6749#section-6
func (c *RefreshTokenGrantHandler) HandleTokenEndpointRequest(ctx context.Context, request fosite.AccessRequester) error {
    if !c.CanHandleTokenEndpointRequest(request) {
        return errorsx.WithStack(fosite.ErrUnknownRequest)
    }

    if !request.GetClient().GetGrantTypes().Has("refresh_token") {
        return errorsx.WithStack(fosite.ErrUnauthorizedClient.WithHint("The OAuth 2.0 Client is not allowed to use authorization grant 'refresh_token'."))
    }

    refresh := request.GetRequestForm().Get("refresh_token")
    signature := c.RefreshTokenStrategy.RefreshTokenSignature(refresh)
    originalRequest, err := c.TokenRevocationStorage.GetRefreshTokenSession(ctx, signature, request.GetSession())
    if errors.Is(err, fosite.ErrInactiveToken) {
        // Detected refresh token reuse
        if rErr := c.handleRefreshTokenReuse(ctx, signature, originalRequest); rErr != nil {
            return errorsx.WithStack(fosite.ErrServerError.WithWrap(rErr).WithDebug(rErr.Error()))
        }

        return errorsx.WithStack(fosite.ErrInactiveToken.WithWrap(err).WithDebug(err.Error()))
    } else if errors.Is(err, fosite.ErrNotFound) {
        return errorsx.WithStack(fosite.ErrInvalidGrant.WithWrap(err).WithDebugf("The refresh token has not been found: %s", err.Error()))
    } else if err != nil {
        return errorsx.WithStack(fosite.ErrServerError.WithWrap(err).WithDebug(err.Error()))
    } else if err := c.RefreshTokenStrategy.ValidateRefreshToken(ctx, originalRequest, refresh); err != nil {
        // The authorization server MUST ... validate the refresh token.
        // This needs to happen after store retrieval for the session to be hydrated properly
        if errors.Is(err, fosite.ErrTokenExpired) {
            return errorsx.WithStack(fosite.ErrInvalidGrant.WithWrap(err).WithDebug(err.Error()))
        }
        return errorsx.WithStack(fosite.ErrInvalidRequest.WithWrap(err).WithDebug(err.Error()))
    }