OAuth API

OAuth 2.0トークンエンドポイント（RFC 6749 §3.2、エージェントJWT用）。grant_type refresh_tokenは不透明なリフレッシュ認証情報をローテーションします（RFC 9700）：使用ごとに新しいペアを返し、request_id（16～200文字）があると正確なリトライは同じレスポンスを返します。認証情報と権限が有効で、後続がまだ現在の場合、経過時間によるリトライ期限なし。

失効したリフレッシュトークンの他の再利用はファミリー全体を取り消します（invalid_grant）。選択されたメンバーシップまたはプロジェクトが削除されると、invalid_scopeと"project_selection_inactive:"で始まるerror_descriptionを返し、リフレッシュ資格情報は消費されません。

GET /api/projects でライブメンバーシップを検出し、以前に同意した選択と交差させ、projects= と新しい request_id で再試行します。この選択エラーのために更新ファミリーを終了しないでください。

要求されたスコープの絞り込みは、各プロジェクトおよびアイデンティティ権限に独立して適用されます。アイデンティティなしの明示的なスコープはアイデンティティ権限を除外します。grant_type urn:ietf:params:oauth:grant-type:token-exchange（RFC 8693）でsubject_token_typeがurn:screenrig:token-type:identity-credentialまたはurn:screenrig:token-type:project-tokenの場合、unsupported_token_typeを返します。レガシー資格情報は廃止され、インストールはscreenrig loginで再サインインします。resource（RFC 8707）はhttps://api.<domain>/apiか省略されます。projectsは最大64の同意済みプロジェクトIDを選択します。

省略はセットが収まる場合のみ全選択します。そうでなければクライアントが部分集合を選択する必要があります。project_id は互換リリース中に一つを選択します。接続アプリの権限は単一リソース https://api.<domain>/mcp を持ち、リフレッシュは省略する場合があります。

クライアントは公開（client_id のみ）か、メタデータで private_key_jwt を宣言し client_assertion_type urn:ietf:params:oauth:client-assertion-type:jwt-bearer と client_assertion（iss と sub は client_id、aud は発行者またはこのエンドポイントを一つの文字列として、exp は iat から5分以内、jti は一度だけ使用、kid はキーの一つを示す；EdDSA、ES256 または RS256）で認証する接続アプリです。grant_type authorization_code は接続アプリのコードを正確な redirect_uri と PKCE code_verifier で60秒以内に交換します。resource は存在しないか許可されたもののみ。二度目の交換はコードが作成した権限を取り消します。grant_type client_credentials はサービスクライアント用で、クライアントアサーション（登録済みキーの一つ）か HTTP Basic（client_secret_basic；本文のシークレットは拒否）で認証し、プロジェクト、audience api または（resource https://api.<domain>/mcp）mcp 用の15分間のサービストークンを受け取り、スコープは能力とアクセスレベル内、リフレッシュトークンなし。クライアントごとに1時間600回。

エラーはRFC 6749 JSON {error, error_description}でCache-Control no-store付きです。サーバーが発行しない場合はtemporarily_unavailable (503)を返します。

レート制限は 429 rate_limited を Retry-After で返します：このエンドポイントおよび失効エンドポイントでクライアントアドレスごとに 1 時間あたり 1200 リクエスト、認可ごとに 1 時間あたり 60 回のリフレッシュ、レガシー認証情報ごとに 1 時間あたり 30 回の交換。grant_type urn:ietf:params:oauth:grant-type:device_code（RFC 8628 §3.4）はデバイスサインインをポーリングします：authorization_pending はユーザーが承認するまで、slow_down は間隔より早くポーリングした場合（その後 5 秒ずつ増加）、access_denied は拒否時、expired_token は 10 分後、その後トークン応答。

新しいインストールはトークンペアを受け取ります。既存のインストールのアクセストークンで開始されたサインインは、その権限に承認されたプロジェクトを追加し、リフレッシュトークンを回転させずにアクセストークンのみを受け取ります。同じdevice_codeを再度ポーリングすると、権限が最初に回転するか10分経過するまで同じ応答が返り、その後invalid_grantになります。

POSTのみ、フォームエンコード、クエリ文字列なし。

RFC 8628 §3.1 `screenrig login` のデバイス認証。scope は access:manage（デフォルト）、access:propose または access:read。project_id は承認するプロジェクトを示唆。name、agent_type、platform、version はインストールを記述し、デバイスから報告されたものとして承認者に表示されます。install_source（任意）はインストール元を示し、承認によって作成されるエージェントに保持されます。

Authorization がなければ新しいインストールを開始します。Authorization: Bearer と identity スコープを持つエージェントアクセストークンで、そのインストールの権限にプロジェクトを追加するか、読み取り専用プロジェクトを管理に昇格させるよう要求します。

その人はverification_uri（またはverification_uri_complete）でuser_codeを入力し、ダッシュボードで承認します。デバイスはdevice_codeを使い、指定間隔でトークンエンドポイントをポーリングします。

レート制限は 429 rate_limited を Retry-After で返します：クライアントアドレスごとに 1 時間あたり 10 回、全体で 1 時間あたり 600 回。エンドポイントごとの 1 時間あたり 1200 回の制限もあります。エラーは RFC 6749 の JSON 形式で Cache-Control no-store です。サーバーが発行しない場合は temporarily_unavailable（503）で応答します。POST のみ、フォームエンコード、クエリ文字列なし。

OAuth 2.0認可エンドポイント（接続済みアプリ用、MCPクライアント）。client_idはクライアントIDメタデータドキュメントのURL（https、ポート443、リダイレクトなしで取得、最大64KiB、5秒以内、パブリックアドレスのみ）か登録済みクライアントIDです。

リクエストは次の順に検証されます: クライアント、完全一致の redirect_uri（127.0.0.1、[::1]、localhost への http ループバックのリダイレクトは任意のポートで一致）、response_type code、code_challenge と code_challenge_method S256、resource（https://api.<domain>/mcp、保護リソースのメタデータがこのサーバーを示すほかの MCP リソース、または省略）、そして scope（access:read（デフォルト）、access:propose、access:manage と機能名）。

不明なクライアントまたはredirect_uriはHTMLエラーページを返し、リダイレクトしません。後のエラーはredirect_uriにerror、error_description、state、iss（RFC 9207）を付けてリダイレクトします。

成功はダッシュボード同意ページへの303応答です。ここでユーザーはプロジェクト、アクセスレベル（デフォルトは読み取り専用、提案または管理）、機能を選択します。承認はコード、状態、issを含むリダイレクトです。クライアントアドレスごとに1分間に30リクエストまで。

RFC 7009 の失効処理です。クライアントに発行された不透明なリフレッシュ認証情報（または旧バージョンのリフレッシュ JWT）、またはエージェントアクセス JWT により、その権限が失効し、権限のアクセストークンは数秒以内に拒否されます。不明、期限切れ、または他のトークンも 200 を返します。POST のみ、フォームエンコードです。

エージェント認可サーバーの RFC 8414 認可サーバーメタデータです。

/mcp の RFC 9728 保護リソースメタデータです。すべての /mcp 401 の resource_metadata で名前が付けられます。

/api の RFC 9728 保護リソースメタデータです。

同意ページの接続済みアプリ承認保留：クライアントの名前とドメイン（ロゴは取得しません）、登録クライアントかどうか、リダイレクトホスト、要求されたアクセスレベルと機能。未知、期限切れ、解決済み承認は not_found です。

新しい証明（oauth_authorization_approval 種類、承認 ID を主題）後に、人物のプロジェクトの1つの接続アプリを承認します：アプリのエージェントID（agent タイプ mcp_client、責任者）、メンバーシップ、選択されたアクセス（読み取りまたは管理；省略は要求レベルを保持しデフォルトは読み取り）と機能（要求のサブセット）を作成し、ページが移動する code、state、iss を含む redirect_uri に応答します。

コードは60秒間有効です。スクリーンに限定されたメンバーは、エージェントの接続、資格情報の発行、プロジェクトのユーザー管理を行えません：outside_screen_scope（プロジェクトオーナーに依頼してください）。

新しい証明後に接続アプリを拒否し（kind oauth_authorization_denial）、ページが遷移する、error=access_denied、state、iss を含む redirect_uri を返します。スクリーンに限定されたメンバーは、エージェントの接続、資格情報の発行、プロジェクトのユーザー管理を行えません：outside_screen_scope（プロジェクトオーナーに依頼してください）。