OAuth Error: invalid_team_for_non_distributed_app

[ilim0t]

OAuth Error: invalid_team_for_non_distributed_appとエラーが出る問題

環境

• 該当ワークスペースにログインしていない
• Slackのログイン処理を行う

Slackでログインする際, 違うワークスペースでログインされるような処理になる。
その際このAppsはワークスペースにインストールされていないと，

OAuth Error: invalid_team_for_non_distributed_app

とエラーが表示される

[ilim0t]

Using OAuth 2.0ではStep 1項にhttps://slack.com/oauth/authorizeURLへのteamqueryについて書かれているので，対策可能であるかのように見える。また他のページでもこのように書かれている

しかし一方，Sign in with Slackのquery一覧にはそのqueryはなく，実際の挙動もこれに沿っていると思われる。

[minddrop]

Using OAuth 2.0ではStep 1項にhttps://slack.com/oauth/authorizeURLへのteamqueryについて書かれているので，対策可能であるかのように見える。また他のページでもこのように書かれている

Using OAuth 2.0より

When a valid team ID is passed to team and the authenticating user is already signed in to that workspace, passing this parameter ensures the user will auth against that workspace.
If the user is not signed in yet, the user will be asked to specify a workspace to sign in to. That workspace will then be used as they complete the authorization flow, regardless of any team parameter you provided when the flow began.

有効な team パラメーターに入っていて、かつユーザーがそのチームにログインしている状態であれば、そのワークスペースに対してだけ認証フローを行えるように強制できる。
ユーザーがまだログインしていない場合は、事前に与えた team パラメーターに関わらず認証フローにはユーザーが指定したワークスペースが使われる。

しかし一方，Sign in with Slackのquery一覧にはそのqueryはなく，実際の挙動もこれに沿っていると思われる。

Sign in with Slackのパラメーターに team が書かれていないのはユーザーがどのチームを使ってログインしようとするのかってところも含めて認証するっていうユースケースを想定しているんじゃないかなっと思った。

[ilim0t]

If the user is not signed in yet, the user will be asked to specify a workspace to sign in to.

このユーザーがワークスペースを指定できる表示が出ないんですよね

[ilim0t]

ワークスペースilim-testでのログイン(https://slack.com/oauth/authorize?client_id=365272832148.561656909648&scope=identity.basic&team=TAR80QG4C)

このリンク踏んでも，ログイン画面(ワークスペース指定画面)表示されずに，議題のエラーが出るはず

[ilim0t]

指定ワークスペースでログインしている場合
正常に行える

指定ワークスペースにログインしていなく，かつ他のワークスペースにログインしている場合
直近に開いたワークスペースへのログインと解釈されリダイレクト。結果エラーが発生する

どのワークスペースにもログインしていない場合
ワークスペースへのログイン画面(どこへログインするかも含め)が表示される

確認したらこうだった

[minddrop]

指定ワークスペースにログインしていなく，かつ他のワークスペースにログインしている場合
直近に開いたワークスペースへの元と解釈されリダイレクト。結果エラーが発生する

ほんとだー
この時の動作がドキュメントに書いてないから仕様かもしれないけど、多分バグだろうな

キャッシュ使われないようにサーバーサイドで認証URL踏んでHTMLだけ返すとかできないかな (未検証