OAuth 2.0

1. CLI で stripe apps create <app-name> を実行して、Stripe アプリを作成します。

2. アプリのマニフェストで次のフィールドを編集します。

   • stripe_api_access_type を oauth に設定します。
   • distribution_type を public に設定します。
   • allowed_redirect_uris を設定します。これは、ユーザーが OAuth を使用してアプリをインストールした後にリダイレクトされる URL です。リストの最初の URL がデフォルトのリダイレクト先として使用されます。

   アプリのマニフェストは以下のようになります。

   stripe-app.json

   {
     "id": "com.example.my-app",
     "version": "0.0.1",
     "name": "Your Stripe App",
     "icon": "./[YOUR_APP]_icon_32.png",
     "permissions": [
       // Your app permissions here
     ],
     "stripe_api_access_type": "oauth",
     "distribution_type": "public",
     "allowed_redirect_uris": [
       // Your redirect URIs here
     ]
   }
   

3. アプリに必要な権限をすべて追加します。

4. 「(オプション)」UI Extensions をアプリに追加します。ユーザーが設定を行ったり、アプリのドキュメントへのリンクを追加したりできるように、設定ビューを追加することをお勧めします。

5. アプリを Stripe にアップロードします。

   Command Line

   stripe apps upload

1. アプリの詳細ページに移動します。
2. 外部テストタブを開き、始めるをクリックして外部テストを設定します。
3. OAuth をテストセクションにある認証リンクにアクセスします。このリンクを使用すると、異なるアカウントでテストすることができます。

ウェブページから、次のパラメーターを指定して OAuth インストールリンクにリダイレクトします: https://marketplace.stripe.com/oauth/v2/authorize?client_id=${clientId}&redirect_uri=${redirectUrl}&state=${state}。

Stripe は、本番環境とテスト環境の両方に対応するリンクを生成します。リンクは外部テストタブにあります。

Stripe App Marketplace にアプリを公開する準備ができたら、アプリを提出して審査を受けます

OAuth アプリを審査のために提出する際は、マーケットプレイスのインストール URL を指定する必要があります。この URL は、前のステップの OAuth インストールリンクを使用して、明確な手順が記載された、アカウント登録とインストールプロセスを開始できるページにリンクしている必要があります。

アプリの審査に入力するインストール URL が、「設定」タブ内にある公開 OAuth リンクを使用していることを確認してください。

1. ブラウザーで、OAuth インストールリンクを開きます。クエリパラメーターを調整して、リダイレクト URL をアプリが対応している URL に変更できます。
2. アプリをインストールするための権限を表示して受け入れます。URL パラメーターを指定していない場合、インストールが完了すると、ユーザーはお客様がアプリのマニフェストで定義した最初のコールバック URL にリダイレクトされます。

コールバック URL が OAuth 認証コードパラメーターを受信します。バックエンドはその OAuth 認証コードを API アクセストークンおよびリフレッシュトークンと交換する必要があります。この認証コードを使用するのは 1 回限りで、5 分間だけ有効であるため、その間にバックエンドは認証コードをアクセストークンと交換しなくてはなりません。バックエンドコードに OAuth クライアントライブラリを使用して実装する必要があるコマンドを以下に示します。

curl -X POST https://api.stripe.com/v1/oauth/token \
  -u sk_live_***: \
  -d code=ac_*** \
  -d grant_type=authorization_code

上記の curl コマンドのレスポンス例を以下に示します。

{
  "access_token": "{{ ACCESS_TOKEN }}",
  "livemode": true,
  "refresh_token": "{{ REFRESH_TOKEN }}",
  "scope": "stripe_apps",
  "stripe_publishable_key": "pk_live_***",
  "stripe_user_id": "acct_***",
  "token_type": "bearer"
}

アクセストークンの有効期限は 1 時間、リフレッシュトークンの有効期限は 1 年間です。リフレッシュトークンは交換のたびに更新されるため、新しいリフレッシュトークンの有効期限は常に、そのトークンが生成された時点または更新された時点から 1 年後の日付になります。1 年以内にリフレッシュトークンをアクセストークンに交換すると、リフレッシュトークンが有効期限日を迎えることはありません。

以下は、シークレットキーを使用してアクセストークンをリフレッシュトークンに交換する同等の curl コマンドです。

curl -X POST https://api.stripe.com/v1/oauth/token \
  -u sk_live_***: \
  -d refresh_token={{ REFRESH_TOKEN }} \
  -d grant_type=refresh_token

レスポンス例を以下に示します。

{
  "access_token": "{{ ACCESS_TOKEN }}",
  "livemode": true,
  "refresh_token": "{{ REFRESH_TOKEN }}",
  "scope": "stripe_apps",
  "stripe_publishable_key": "pk_live_***",
  "stripe_user_id": "acct_***",
  "token_type": "bearer"
}

新しいリフレッシュトークンを取得し、以前のリフレッシュトークンを有効期限切れにします。リフレッシュトークンはバックエンドに安全に保管し、Stripe ユーザーに代わって Stripe API にアクセスするときにいつでもそのリフレッシュトークンを使用して、新しいアクセストークンを取得する必要があります。

次の例のように Stripe API にリクエストして、アクセストークンを検証します。

curl https://api.stripe.com/v1/customers \
  -u "{{ ACCESS_TOKEN }}"