Q3.5 拡張：FLB ROOT テスト検証

← Q3.5 メインへ

「ドキュメントに書かれていないから聞く」ではなく 「投げれば分かる」項目を自動検証 してベンダー問合せから除外します。詳細は 11_vendor_inquiries.md §0 を参照。

⚠ access_token 未取得または期限切れ。Q3.5 メインで OAuth 認可を実施してください。

▶ 現在の FLB 設定サマリ（.env 診断用）

FLB_ROOT_BASE_URL: https://api.root.bricks.pub

FLB_BINB_BASE_URL: https://api.binb.bricks.pub

FLB_ROOT_OWNER_ID: c6bdbf35-4673-45ca-adf2-c3adf3684d25

FLB_BRICK_CLIENT_ID: rUY3Yn…Kk1A (43文字)

FLB_BRICK_API_KEY: Tpux0i…HINQ (40文字) ← ROOT Brick 用（Q3.5 等で使用）

FLB_BINB_API_KEY: 9T5Cvh…RHm1 (40文字) ← BinB Brick 用（T-4 / リーダー起動で使用）

💡 2026-06-30 実測反映：ROOT と BinB は別 Brick 発行の仕様。
  ・ROOT API（`/v1/owners/*`）→ FLB_BRICK_API_KEY を使用
  ・BinB API（`/v1/contents/tokens` 等）→ FLB_BINB_API_KEY を使用
  ・両者は同じ Owner_id を参照するが API キーは別

🧪 T-1：OAuth token エンドポイント GET vs POST（TK-17）

同じダミーコードで GET と POST の両方を叩き、HTTP ステータスを比較します。期待：POST → 400 系（コード無効エラー）、GET → 404 系（メソッド不許可）

🧪 T-2：refresh_token フロー動作確認（TK-14 一部）

保存済みの refresh_token で access_token を再発行します。 観察点：新 expires_in の値／refresh_token が rotate されるか

🧪 T-3：authorize URL の client_secret 有無比較（TK-22）

client_secret を URL クエリに含める（現行）vs 含めない（OAuth 2.0 標準）の両方を試します。期待：含めなくても認可画面が表示されれば、実装で client_secret を URL から除去できる

🧪 T-4：contents/tokens の expired_at 実測（TK-4）

Q3.5 で取得できた content_id（UUID）を1つ指定して、 POST /v1/contents/tokens を叩き、レスポンスの expired_at と現在時刻の差分を測ります。

🧪 T-5：レート制限の実測（TK-15）

GET /v1/owners/{owner_id}/contents を N 回連続で叩いて、 429 が返る位置と Retry-After ヘッダを観察します（PoC の負荷は最小）。

参照： Q3.5 メイン | FLB ROOT API v1: docs