匿名セッション

• ページの読み込みやセッションをまたいでゲストユーザーを追跡する
• ショッピングカートの参照情報、設定、同意、プロファイリング情報などのメタデータを保存する
• 認証なしでAPI呼び出し用のアクセストークンを発行する
• ユーザーがサインアップまたはログインした際に、匿名でのアクティビティを認証済みアカウントに移行する

​

匿名セッションのデータを収集する

• 匿名セッションを識別し、維持するための セッショントークン。
• ユーザーが リソースサーバー (API) に提示できる アクセストークン。

{
  "user_id": "anon@1234-5678-90",
  "session_id": "sess_456",
  "metadata": {
    "language": "EN",
    "country": "US",
    "purchase": "P0123"
  }
}

​

匿名セッションのデータをユーザーの メタデータ に引き継ぐ

​

クッキーを通じてセッションを移行する

// 追加のコードは不要です。Cookie は自動的に送信されます
await auth0.loginWithRedirect();

​

転送チケットを使用してセッションを移行する

1. urn:auth0:anon_transferオーディエンスを要求して/anonymous/tokenエンドポイントを呼び出し、引き換えにanon_transfer_tokenを受け取ります。
2. /authorizeの呼び出しにパラメーターとしてanon_transfer_tokenを含めます。

{
  "anonymous_session": {
    "user_id": "anon@1234-5678-90",
    "session_id": "sess_123",
    "created_at": "2026-05-14T10:30:00Z",
    "metadata": {
      "language": "en",
      "country": "US",
      "order_id": "PO123"
    }
  }
}

​

リソースオーナーパスワードグラント (ROPG) のシナリオでセッションを移行する

POST /oauth/token HTTP/1.1

username=YOUR_USERNAME&
password=YOUR_PASSWORD&
client_id=YOUR_CLIENT_ID&
scope=YOUR_SCOPES&
grant_type=http://auth0.com/oauth/grant-type/password-realm&
client_secret=YOUR_CLIENT_SECRET&
realm=YOUR_REALM&
audience=YOUR_AUDIENCE&
anonymous_session_token=ANONYMOUS_SESSION_eyJ...

​

転送後に匿名セッションを終了する

// アプリケーションでのログイン成功後
if (wasAnonymousSession) {
  await fetch('https://YOUR_DOMAIN/anonymous/logout', {
    method: 'POST',
    headers: { 'Content-Type': 'application/json' },
    credentials: 'include', // Cookie を送信
    body: JSON.stringify({ client_id: 'YOUR_CLIENT_ID' }),
  });
}

​

ベストプラクティス

• ユーザーの匿名セッションデータが失われないよう、適切な匿名セッションの有効期間を設定します。Auth0では、30日以上の有効期間を推奨しています。
• 匿名のanon@ユーザーがAPIで実行できる操作を制限します。
• トークンを検証し、メタデータをサニタイズします。サーバー側でバリデーションを行わずに、クライアントからのメタデータやトークンを決して信頼しないでください。
• アクセストークンは有効期限まで再利用できるため、キャッシュします。

​

制限事項

• 匿名セッションでは、パスワードリセットフローはサポートされていません。
• 認証リクエストと実際のログインが別のデバイスで行われるため、デバイスコードはサポートされていません。
• 認証リクエストと確認が別のデバイスで行われるため、クライアント主導のバックチャネル認証 (CIBA)はサポートされていません。
• トランザクションの性質上 (たとえば、代理ログイン) 、匿名データが誤ったユーザーに関連付けられるおそれがあるため、カスタムトークン交換はサポートされていません。
• リフレッシュトークンを持つユーザーはすでにログイン済みであるため、匿名セッションではリフレッシュトークン交換はサポートされていません。