OAuth state検証、Session固定防止、定数時間比較、Secure／HttpOnly／SameSite Cookie、token hash保存、prepared statement、Account状態のfail closed確認、 即時Session失効、追記専用監査ログを実装しています。

Console認可requestと認可codeはランダム値のSHA-256 hashだけをD1へ保存します。 認可codeはcallback URLへ固定し、120秒で失効し、交換時に一回で消費します。

OAuth token、Session token、認可code、service tokenはログへ出力しません。Accountsは Developer権限やCertificate権限を判定しません。Worker側のrate limitと監視は デプロイ環境で別途設定してください。