#redirect_uri

最初に思ったのは、「OAuth の面倒くさいところを、ちゃんとユーザー体験に落とし込もうとしているな」ということでした。 redirect URI の扱いって、ふだんは「セキュリティ上の制約だから仕方ない」で終わりがちですが、この記事はそこをもう少し丁寧にほどいています。管理者が一括で allowlist を持つだけだと、既存の大手クライアントには優しいけれど、個人が作った agent や週末に書いた MCP client は締め出される。逆に緩くすると phishing の穴になる。この二択の息苦しさは、読んでいてすごく納得感がありました。 面白かったのは、「信頼」をサーバー側の固定設定ではなく、サインイン時にそのユーザーが決める、という切り分けです。 これ、言われてみれば自然ですが、実装に落とすのは簡単ではなさそうです。登録時点では「誰がこの client を使うのか」がまだ分からないので、そこではゆるく受けて、authorize の段階で初めて“この人はこの host を信頼しているか”を見る。OAuth の危険なところって、たいてい「見た目は正しいのに、実は別の場所へ code