OAuthコネクションのリフレッシュトークン発行時に「403 Forbidden」エラーが発生する

質問

OAuthコネクションのリフレッシュトークン発行時に「403 Forbidden」エラーが発生します。

具体的にはリフレッシュトークン発行ボタンを押下して別ウィンドウを開かれた後、画面に表示された指示に従ってアクセス許可を承認してリダイレクトするタイミングで「403 Forbidden」エラーが発生します。

原因と回避策を教えてください。

回答

リフレッシュトークン発行時のリダイレクト処理で「403 Forbidden」エラーが発生する原因ですが、
リダイレクトURLのクエリパラメータのサイズが大きい場合に、HULFT Squareのセキュリティ仕様によりリクエストがブロックされるためと考えられます。

コネクションのスコープ設定やアプリケーション側のアクセス許可設定によって、リダイレクト時のクエリパラメータである認可コードのサイズが増加し、上記のセキュリティ仕様に抵触する場合があります。

特にdefaultスコープのような広範囲にフルアクセスを要求するスコープを指定している場合、本事象が発生する可能性が高まります。

以下のような回避策を行うことで状況が改善する場合がありますので、お試しください。

1. コネクション設定にてdefaultスコープ以外のスコープを指定する
   コネクションのスコープ設定でdefaultスコープを指定している場合、アプリケーションで許可しているアクセス権限をすべて要求する動作が発生して認可コードのサイズが大きくなる場合があります。
   defaultスコープではなくお客様がOAuth認証を利用したい処理に必要なスコープを個別に指定していただくことで、不必要な認可の要求を削減し、認可コードの短縮が期待できます。
    
2. APIアプリケーション側の設定にてAPIのアクセス許可を削減していただく
   APIアプリケーション側の[API のアクセス許可]の設定のアクセス許可を必要なものに絞っていただくことで、
   defaultスコープを指定している場合でも要求されるアクセス権限が少なくなり、認可コードの短縮が期待できます。