roblox-oauth

用途：面向 Roblox Open Cloud 的 OAuth 2.0 委托授权任务，例如在 Creator Dashboard 注册或配置 OAuth 应用、选择机密客户端与公开客户端、构建授权码流程（尤其带 PKCE）、构造授权 URL 与处理重定向回调、交换授权码、刷新/内省/撤销令牌、选取实现功能所需的最小作用域、验证令牌可访问的资源，以及排查 OAuth 专属错误如重定向不匹配、令牌误用或作用域失败。不适用：一般 Open Cloud 请求构造、API key、Webhook 或非 OAuth 云自动化、体验内脚本架构、DataStore 或 MemoryStore 设计。主要能力与规则：所有客户端优先授权码流程加 PKCE，公开客户端必须使用 PKCE；浏览器与移动端视为公开客户端，不能安全保存客户端密钥；有安全后端的应用视为机密客户端，密钥仅存服务端。按实际功能请求最小作用域，需要 ID token 时加 openid，确实需要 profile 声明时才加 profile。用法要点：授权请求发往 https://apis.roblox.com/oauth/v1/authorize，携带 client_id、redirect_uri、scope、response_type=code 以及 code_challenge、code_challenge_method=S256；每次授权生成新的高熵 state 与 code_verifier/code_challenge；回调中先校验 state，处理成功 code 与失败 error、error_description，授权码短时有效且一次性；在 POST /oauth/v1/token 以 application/x-www-form-urlencoded 交换令牌；访问令牌约 15 分钟，刷新令牌约 90 天且刷新时一次性使用，每次刷新成功后须原子替换存储的刷新令牌；断开应用时用 POST /oauth/v1/token/revoke 撤销会话。身份用 GET /oauth/v1/userinfo；确认资源级授权用 POST /oauth/v1/token/resources；POST /oauth/v1/token/introspect 仅用于令牌活动与声明，不能替代资源授权检查。参考文件包括 oauth-overview.md、oauth-registration.md、oauth-development-guide.md、oauth-reference.md、oauth-sample-app.md、scopes-reference.md、risk-level-reference.md、cloud-auth-related-error-guidance.md。限制：不涉及通用 Open Cloud 端点实现、玩法架构或数据服务设计；若任务转向 API key 集成等应交给 roblox-cloud。注册与发布应用可能需要开发者完成身份验证；客户端密钥仅显示一次。价格、平台、许可等资料暂未提供。