The OAuth 2.0 Authorization Framework: Bearer Token Usage（日本語） Abstract この仕様書は, OAuth 2.0の保護リソースへアクセスするために, 署名無しトークンをHTTPリクエスト中でどのように利用するか記述したものである. 署名無しトークンを所有する任意のパーティ (持参人) は, 関連づけられたリソースへアクセスするために署名無しトークンを利用できる (暗号鍵の所有を示す必要はない). 誤った利用を避けるために, 署名無しトークンは保存場所や流通経路での値の露見から守られる必要がある. Status of This Memo This is an Internet Standards Track document. This document is a product of the Internet Enginee
Angular + Railsの理想的な関係 Railsはバックエンドとして完全にAPIを提供するのみで、フロントサイド(AngularJS)と完全に分離 AngularとRailsの間をどうセキュアに繋ぐか？ RailsがOAuth2 Providerとなって、APIの許可を行う OAuth2 Provider用のgem doorkeeperを用いるとよい APIの提供は、grapeを用いるとよい 理想的な Rails, AngularJS 環境の構築 - ボクココ AngularJS x Railsで ユーザ認証を実現するためのアプリ設計 - ボクココ Grape+DoorkeeperによるOAuth2 ProviderとAPIの提供 構成は以下のとおり Resource Owner (User) - Devise Authorization Server (OAuth 2 Provi
twitter上ではもう宣伝していますが、SelfieGirlをリリースしました。 SelfieGirlは、twitter上で話題になっている#グラドル自画撮り部のハッシュタグを元に検索して、スマートフォンで見やすいように整形したWebサービスです。Androidアプリはちょこちょこ出ているようなので、Androidじゃなくて別の方法でやってみようかなと思っていました。 SelfieGirlを作っている技術は以下になります。 Ruby on Rails Ruby製フルスタックフレームワーク AngularJS JavaScript MVCフレームワーク ionic framework AngularJSを前提にしたスマートフォン用に最適化されたhtml5フレームワーク heroku Ruby on Railsを簡単にデプロイできるPaaS。様々な言語をサポートしている。 oauth.io
最近、「Facebookのことが分からないので教えてください」とよく頼まれます。ごめんなさい、嘘を言いました。よく、は頼まれません。よくある、とか、しばしばある、は実体以上に良く見せようとする時に使う常套句です。気をつけて使おうと思います。 それはともかくとして。 Facebookは確かに難しいです。REST API(名前がRESTですがまったくRESTfulではないWeb API)からGraph APIへの変遷、FBMLからXFBML(参照)への変遷、そしてXFBMLの存在を隠蔽するプラグインへの変遷、更に今をときめくLikeボタンからDislikeボタン()への変遷、など諸々まとめて、「Facebook vs. OpenSocial」のお題で社内勉強会をしようと思っています。 しかし内容が多すぎるので、これらの技術の中で基盤となるOAuth 2.0(まだドラフト段階です)を取り出して、
昔から、「OpenIDは認証でOAuthは認可だ」などということが言われます。しかし、その言語の意味を取り違えている方が結構多い気がしています。「もうOpenIDなんていらね。OAuthだけでいいじゃん」というような言説がよく流れてくるのがその証拠だと思います。OAuth認証というのもその類ですね。 そこで、今日はOAuthとOpenIDの違いを考えてみたいと思います。 OpenIDは紹介状、OAuthは合鍵 まずはOpenIDの概要の復習です。「OpenIDは認証」という言葉の内容をまずは復習してみましょう。 「認証」とは大変広い言葉でいろいろな場面で使われますが、「OpenIDは認証」という使い方の時は、「OpenIDは、いま来ている人の身元を認証」（ユーザ認証）という意味です。図にすると図1のような流れになります。 この例では、有栖さんがお客としてサービス提供をしているサイトである伊
In some of the feedback I have gotten on the openID Connect spec, the statement is made that Connect is too complicated. That OAuth 2.0 is all you need to do authentication. Many point to Identity Pro… 英語読みたくないという人のために簡単に解説すると… OAuth 2.0 の implicit flow を使って「認証」をしようとすると、とっても大きな穴が開きます。 カット＆ペーストアタックが可能だからです。 OAuth 認証？は、図１のような流れになります。 図１ OAuth 認証？の流れ 一見、問題なさそうに見えます。しかし、それはすべてのサイトが「良いサイト」ならばです。 Site_A
OAuthって何? いわゆるこういうのです 最近Twitterで スパムアプリがおっぱいポロリと勝手につぶやく といった事件が世間を賑わせています。 このままでは「OAuthは犯罪です!」なんて言い出す人が現れかねないので、 OAuthってどんなものなのか、Twitterを例に誤解されそうなところを簡単に説明したいと思います。 誤解1: OAuthはユーザ認証の機能である 多くのWebサイトに Twitterでログインする 機能があり、 上の画面をユーザ認証の仕組みだと思っている人は多いと思いますが、 大間違いです 。 OAuthは、他のアプリ(サイト)に対して、自分の代わりにTwitterにアクセスする権利を与える仕組みです。 その過程でユーザ情報がとれるので、ログインの代わりに使っているアプリが多いのですが、本来は間違った使い方です。 他のサービスを使ってユーザ認証をする仕組みに Op
いままで Mix-up Attack は Client が AS 毎に redirect_uri を使い分けていれば防げると信じられてきましたが、それじゃ防げないケースもあるよってのが OAuth ML に投稿されました。 細かい解説は英語読んでもらうとして、シーケンスにするとこういうことです。 Attacker AS が (Display Name やロゴ等を通じて) 一見 Honest Client に見えるような Client (Attacker Client) を Honest AS に登録しておく必要があります。 User が Attacker AS 選んでるのに Honest AS に飛んで Approve してしまってる部分も、Attacker Proxy が利用可能な状況 (e.g., Client が HTTP なエンドポイントで Honest AS のログインボタン等を
先ほどの例のFacebookやTwitterなどのように、OAuthをサポートしたAPIを提供しているサービスを「OAuth Server」と呼びます。また、それらのAPIを利用するInstagramやFoursquare、Pinterestなど、OAuth Serverが提供するAPIを利用する側のサービスは「OAuth Client」と呼ばれます。そして、アクセス権限の付与を行うユーザー自身は「Resource Owner」と呼ばれます（注2）。 注2：OAuth 1.0が出てきたころは、OAuth Serverのことを「OAuth Service Provider」、OAuth Clientのことを「OAuth Consumer」と呼んでいました。その名残で、いまでもそのように呼ばれているケースもあります。 最近ではほとんどのAPIで何らかのアクセスコントロールが必要になっており、よ
今回から始まった「ゼロから学ぶOAuth」。全4回の特集にて、これからのWebサービスを開発する上で不可欠な技術「OAuth」について取り上げます。初回は、OAuthの概念について取り上げます。 はじめに はじめまして、iKnow!改めsmart.fmの真武です。現在smart.fmでは、OAuthやOpenID、OpenSocial、Semantic WebやActivity Streamなどといった新しい技術の導入を積極的に行いサイトを活性化させるとともに、smart.fm APIを通じて我々の技術を外部のデベロッパの方々にも提供しています。 smart.fmは日本最大のOpenID Relying Partyであるだけでなく、国内では数少ないOAuth Consumer（後述）およびOAuth Service Provider（後述）を兼ねるサービスとなっています。こういった背景
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
