# ANYSCAPE Portal アプリ接続ガイド

ANYSCAPE Portalは、Google OAuthを利用するowner兼認証ブローカーです。標準のアクセスモデルは `portal-auth-broker` です。

Portalのアプリカードはsecurity boundaryではありません。別アプリは、Portalからのリンク表示だけに依存せず、直接URLへのアクセスを自ら保護しなければなりません。

別アプリはPortalが発行した短命tokenをサーバー側で検証し、検証後にHttpOnlyなローカルsessionを発行します。tokenをブラウザの永続ストレージやURLに残してはいけません。

接続完了にはPortal側と別アプリ側の両方の実装と検証が必要です。片側だけの実装または検証で完了報告してはいけません。

## 本番リソース

- 完全ガイド: https://portal.anyscape.jp/docs/connect-app
- well-known metadata: https://portal.anyscape.jp/.well-known/anyscape-portal.json
- broker metadata: https://portal.anyscape.jp/api/auth/broker/metadata