トークン応答の access_token と token_type

OAuth のトークン応答に似た例です。access_token と refresh_token は伏せ、token_type は種類を表す名前なので語を含んでいても伏せないという、判定の分かれ目を確かめます。

入力

{"access_token":"abc","token_type":"Bearer","expires_in":3600,"refresh_token":"xyz","scope":"read"}

(空)

***

エラー 0 件・警告 0 件・情報 4 件

情報 $.access_token 項目名「access_token」の値を *** に置き換えました。
情報 $.token_type 項目名「token_type」は秘密らしい語を含みますが、種類・長さ・期限などを表す名前なので伏せませんでした。値が秘密そのものなら、追加で伏せる項目名に指定してください。
情報 $.refresh_token 項目名「refresh_token」の値を *** に置き換えました。
情報出力全体判定は項目名の推定だけで、値の中身は見ていません。項目名が一般的でない秘密(例: key1)や、秘密を含む長い文字列の値は伏せられません。共有する前に出力を目で確かめてください。

{
  "access_token": "***",
  "token_type": "Bearer",
  "expires_in": 3600,
  "refresh_token": "***",
  "scope": "read"
}

OWASP はアクセストークンを記録しないとしています。access_token と refresh_token は token を含み type・期限で終わらないので 2 件伏せます。token_type は type で終わるため伏せず、情報の指摘になります。調べた項目名は 5 個です。

判定の根拠は仕様と根拠に、仕様の出典とともにまとめています。自分の入力で試すにはツールをお使いください。

判定は項目名の推定だけで、値の中身は見ません。key1 のような一般的でない名前の秘密や、メッセージの文章に混ざった秘密は伏せられません。
同じオブジェクトに同じ項目名が重複している場合は、読み込み時に最後の値だけが残ります(RFC 8259 4 節)。また、桁の大きすぎる数は丸められることがあります。
個人情報(氏名・住所・メールアドレス・電話番号)は対象外です。必要なら「追加で伏せる項目名」に指定してください。
JSON Lines(1 行に 1 つの JSON)や、コメントのある JSON5・JSONC は、JSON としてはエラーになります。

ご利用にあたって