有効なトークンのイントロスペクションで返る responseContent

有効なアクセストークンを Authlete の /auth/introspection API に送ると、トークンが有効であることを示すレスポンスが返りますが、その responseContent の値は Bearer error="invalid_request" となっています。

{
  "resultCode": "A056001",
  "resultMessage": "[A056001] The access token is valid.",
  "action": "OK",
  "clientId": 1048476397,
  "subject": "user123",
  "existent": true,
  "usable": true,
  "refreshable": true,
  "responseContent": "Bearer error=\"invalid_request\"",
  "expiresAt": 1789564514000
}

これは異常を示すものではありません。イントロスペクションの結果を表すのは action であり、OK はアクセストークンが存在し有効期限内であること、つまりリソースサーバーが保護リソースを返してよいことを意味します。 responseContent は結果ではなく、リソースサーバーがリクエストを拒否する場合に WWW-Authenticate ヘッダーへ設定できる値としてあらかじめ用意されたものです。 Bearer error="invalid_request" は 400 Bad Request に使える最も単純な文字列で、 action が OK のときはトークン自体に問題がないため、この値が返ります。

HTTP/1.1 400 Bad Request
WWW-Authenticate: Bearer error="invalid_request"
Cache-Control: no-store
Pragma: no-cache

実際の運用では、この文字列をそのまま返すのではなく、リクエストの何が誤っているのかをクライアントに伝えることをおすすめします。invalid_request だけではクライアントアプリケーションの開発者が対処できないためです。なお responseContent は Bearer トークンタイプ（RFC 6750）を前提とした形式です。別のトークンタイプを使用するサービスでは、エラーレスポンスを自前で組み立てる必要があります。 See also:

JavaDoc for Class IntrospectionResponse

エンドポイント

トークン & クレーム

鍵管理

メタデータ

エラー処理とデバッグ

セキュリティ

クライアント管理

サービス設定

有効なトークンのイントロスペクションで返る responseContent