libs/
├── idp-server-core-extension-fapi/          # FAPI拡張モジュール
│   └── .../extension/fapi/
│       ├── FapiBaselineVerifier.java       # FAPI Baseline検証
│       ├── FapiAdvanceVerifier.java        # FAPI Advanced検証
│       ├── FapiProfileValidator.java       # FAPIプロファイル検証
│       ├── TlsClientAuthAuthenticator.java # mTLSクライアント認証
│       └── SelfSignedTlsClientAuthAuthenticator.java
│
├── idp-server-core-extension-fapi-ciba/     # FAPI-CIBA拡張
│   └── .../extension/fapi/ciba/
│       └── FapiCibaVerifier.java
│
├── idp-server-core/                         # コア（PAR, JARM実装）
│   └── .../oauth/
│       ├── request/
│       │   └── OAuthPushedRequestParameters.java  # PAR
│       ├── response/
│       │   └── JarmCreatable.java                 # JARM
│       ├── io/
│       │   ├── OAuthPushedRequest.java
│       │   └── OAuthPushedRequestResponse.java
│       └── verifier/extension/
│           └── JarmVerifier.java
│
└── idp-server-control-plane/               # 管理API
    └── .../management/fapi/
        └── FapiConfigManagementApi.java

public class FapiBaselineVerifier {
    public void verify(
        AuthorizationRequest request,
        Client client
    ) {
        // 1. response_type=code only
        if (!request.responseType().isCode()) {
            throw new InvalidRequestException(
                "fapi_baseline_requires_code_flow"
            );
        }

        // 2. PKCE必須（S256のみ）
        if (!request.hasCodeChallenge()) {
            throw new InvalidRequestException(
                "code_challenge_required"
            );
        }

        if (request.codeChallengeMethod() != CodeChallengeMethod.S256) {
            throw new InvalidRequestException(
                "code_challenge_method_must_be_s256"
            );
        }

        // 3. state必須
        if (!request.hasState()) {
            throw new InvalidRequestException("state_required");
        }

        // 4. nonce必須（OpenID Connect時）
        if (request.scope().contains("openid") &&
            !request.hasNonce()) {
            throw new InvalidRequestException("nonce_required");
        }
    }
}

public class FapiAdvanceVerifier {
    public void verify(
        AuthorizationRequest request,
        Client client
    ) {
        // Baseline要件チェック
        fapiBaselineVerifier.verify(request, client);

        // 1. PAR必須
        if (!request.isPushedAuthorizationRequest()) {
            throw new InvalidRequestException(
                "par_required_for_fapi_advanced"
            );
        }

        // 2. JARM必須
        if (!request.hasResponseMode() ||
            !request.responseMode().isJwt()) {
            throw new InvalidRequestException(
                "jarm_required_for_fapi_advanced"
            );
        }

        // 3. mTLS必須
        if (!request.hasMtlsCertificate()) {
            throw new InvalidRequestException(
                "mtls_required_for_fapi_advanced"
            );
        }
    }
}

PARエンドポイント                    認可エンドポイント
┌─────────────────────┐            ┌─────────────────────┐
│ パラメータ受信        │            │ request_uri 受信      │
│ ↓                   │            │ ↓                   │
│ パターン解析          │            │ PUSHED_REQUEST_URI   │
│ (NORMAL/REQUEST_OBJ) │            │ ↓                   │
│ ↓                   │            │ 保存済みパラメータ復元  │
│ FAPI Advanced 全検証  │            │ (JoseContext は空)    │
│ (署名,exp,nbf,aud)   │            │ ↓                   │
│ ↓                   │            │ FAPI Advanced 検証    │
│ クライアント認証       │            │ (JWT検証はスキップ)   │
│ ↓                   │            │ ↓                   │
│ AuthzRequest 保存     │            │ 認可処理続行          │
│ ↓                   │            └─────────────────────┘
│ request_uri 発行      │
└─────────────────────┘

e2e/src/tests/
├── spec/
│   ├── fapi_baseline.test.js                # FAPI Baseline仕様
│   ├── fapi_advance.test.js                 # FAPI Advanced仕様
│   ├── fapi_ciba.test.js                    # FAPI CIBA仕様
│   ├── rfc9126_par.test.js                  # PAR (RFC 9126)
│   └── jarm.test.js                         # JARM仕様
│
├── usecase/financial-grade/
│   ├── financial-grade-01-transfer-flow.test.js
│   └── financial-grade-02-authentication-device-rule.test.js
│
└── security/
    └── (FAPI関連セキュリティテスト)

# ビルド
./gradlew :libs:idp-server-core-extension-fapi:compileJava
./gradlew :libs:idp-server-core-extension-fapi-ciba:compileJava

# テスト
cd e2e && npm test -- spec/fapi_baseline.test.js
cd e2e && npm test -- spec/fapi_advance.test.js
cd e2e && npm test -- spec/rfc9126_par.test.js
cd e2e && npm test -- usecase/financial-grade/

OIDF Conformance Suite (https://www.certification.openid.net/)
    ↕ HTTPS
ローカル idp-server (api.local.dev / mtls.api.local.dev)
    ↕
Financial-grade テナント (tenant_id: c3d4e5f6-a7b8-c9d0-e1f2-a3b4c5d6e7f8)

# 1. ローカル環境起動
docker compose up -d

# 2. financial-gradeテナント作成（管理APIで組織・テナント・クライアント一括作成）
cd config/examples/financial-grade
./setup.sh

# 3. テナント設定の更新（既存テナントの設定変更時）
./update.sh

# 4. テナント削除（クリーンアップ）
./delete.sh

config/examples/financial-grade/oidc-test/
├── fapi/
│   └── tls_client_auth.json          # FAPI 1.0 Advanced Final (tls_client_auth)
└── fapi-ciba/
    ├── tls_client_auth_poll.json      # FAPI-CIBA (tls_client_auth + poll)
    ├── private_key_jwt_poll.json      # FAPI-CIBA (private_key_jwt + poll)
    └── FAPI-CIBA-test-cases.md        # テストケース詳細ドキュメント

{
  "alias": "テスト計画の識別名",
  "server": {
    "discoveryUrl": "https://api.local.dev/{tenant_id}/.well-known/openid-configuration"
  },
  "client": { "client_id": "...", "scope": "...", "jwks": {...} },
  "client2": { "client_id": "...", "scope": "...", "jwks": {...} },
  "mtls": { "key": "...", "cert": "..." },
  "mtls2": { "key": "...", "cert": "..." },
  "resource": {
    "resourceUrl": "https://mtls.api.local.dev/{tenant_id}/v1/me/identity-verification/applications"
  }
}

# CIBAデバイス認証シミュレーション（テスト中に手動実行）
cd config/examples/financial-grade
./ciba-device-auth.sh