---
title: "sdk/flutter"
description: "flutter_web_auth_2、PKCE S256 認可コードフロー、flutter_secure_storage トークン永続化を使用した iOS、Android、デスクトップ向け Dart / Flutter SDK。"
locale: "ja"
---

> Documentation Index
> Fetch the locale documentation index at: https://xid.dev/ja/llms.txt
> Use this file to discover all available pages before exploring further.

# sdk/flutter

## 状態

パッケージステータス：**実装済み・ローカル検証済み**。純粋 Dart 単体テスト（21 ケースパス）は PKCE、トークンモデル、メモリ内ストレージをカバーします。プラットフォームチャネルのパス（flutter\_secure\_storage、flutter\_web\_auth\_2）は実際のデバイスまたはシミュレーターでの検証が必要です。実際の IdP ラウンドトリップは手動検証待ちです。このページは実装済みの動作を記録したものであり、本番対応の主張ではありません。

## インストール

pubspec.yaml に追加して flutter pub get を実行します：

```yaml
# pubspec.yaml
dependencies:
  xid:
git:
  url: https://github.com/StringKe/xid
  path: sdk/flutter
  ref: main
```

## プラットフォームセットアップ

各プラットフォームでコールバック URI スキームを登録します。

```xml
<!-- Android: AndroidManifest.xml (main Activity) -->
<intent-filter>
  <action android:name="android.intent.action.VIEW" />
  <category android:name="android.intent.category.DEFAULT" />
  <category android:name="android.intent.category.BROWSABLE" />
  <data android:scheme="com.example.myapp" android:host="auth" />
</intent-filter>

<!-- iOS: Info.plist -->
<key>CFBundleURLTypes</key>
<array>
  <dict>
<key>CFBundleURLSchemes</key>
<array><string>com.example.myapp</string></array>
  </dict>
</array>
```

## クイックスタート

```dart
import 'package:xid/xid.dart';

final client = XidClient();

// 1. Initialize (fetches OIDC discovery)
await client.configure(
  const XidOptions(
issuer: 'https://xid.dev',
clientId: 'YOUR_CLIENT_ID',
redirectUri: 'com.example.myapp://auth/callback',
scopes: ['openid', 'profile', 'email', 'offline_access'],
  ),
);

// 2. Sign in (opens system browser, PKCE S256)
final session = await client.signIn();
print(session.user.email);

// 3. Get valid access token (auto-refreshes)
final token = await client.getAccessToken();

// 4. Get current session
final current = await client.getSession();

// 5. Sign out (revokes refresh token + clears secure storage)
await client.signOut();
```

## コア API

| 方式 | 説明 |
| --- | --- |
| `configure(XidOptions, {storageAdapter?})` | SDK を初期化して OIDC ディスカバリーを取得します。他のすべてのメソッドより前に呼び出す必要があります。 |
| `signIn({}additionalParameters?, audience?})` | PKCE S256 認可 URL でシステムブラウザを開き、コードを交換して XidSession を返します。 |
| `handleRedirect(String url)` | App Link またはカスタムスキームコールバックを処理します。signIn によって内部的に呼び出されます。クロスプロセスリダイレクト復元には手動で呼び出します。 |
| `getSession()` | XidSession? を返します — アクセストークンが期限切れ間近（60 秒以内）の場合、リフレッシュトークンのローテーションをトリガーします。 |
| `getAccessToken({}bool forceRefresh})` | 有効なアクセストークン文字列を返します。forceRefresh: true を渡すと強制更新します。 |
| `signOut({}bool openLogoutUrl})` | リフレッシュトークンを取り消し（RFC 7009）、セキュアストレージをクリアし、オプションでブラウザに end\_session\_endpoint を開きます。 |
| `setTokenStorage(TokenStorageAdapter)` | デフォルト SecureStorageAdapter（flutter\_secure\_storage）をカスタム実装で置き換えます。 |

## 依存関係

| パッケージ | バージョン | 目的 |
| --- | --- | --- |
| `flutter_web_auth_2` | ^4.0.0 | システムブラウザの認可セッションとコールバック受信 |
| `flutter_secure_storage` | ^9.2.4 | プラットフォームセキュアストレージ（Keychain / Keystore / DPAPI） |
| `crypto` | ^3.0.3 | PKCE S256 チャレンジ計算用 SHA-256 |
| `http` | ^1.2.2 | ディスカバリーおよびトークンエンドポイント用 HTTP クライアント |

## セキュリティ

- パブリッククライアント — クライアントシークレットは保存・送信されません。
- PKCE S256 のみ。implicit フローとパスワードグラントは使用しません。
- リクエストごとに生成される OAuth state。CSRF を防ぐため handleRedirect で検証されます。
- リフレッシュトークンはプラットフォームセキュアストレージ（iOS では Keychain、Android では Keystore）に保存され、XID サーバーによって使用のたびにローテーションされます。

## 既知の制限事項

- JWKS による ES256 ID token 検証、state 単位で永続化する PKCE、refresh single-flight は実装済みでローカルテスト済みです。L4 には実機と IdP の検証が必要です。
- リフレッシュトークンを受け取るには offline\_access をスコープに含める必要があります。

Source: https://xid.dev/ja/sdks/flutter/index.mdx