SAStrutsでOpenID認証してみた - 418 | I'm a teapot
試したのは、SAStruts+Mayaaの組み合わせ。 openid4java - OpenID 2.0 Java Libraries - Google Project Hosting を参考にして作ったが、verifyが一向に通らない。 シーサー株式会社 verification = consumerManager.verify(url, openidResp, discovered); で使用するURLなんですが、サンプルではrequest.getRequestURLから取得しているんですが、cubbyだと返ってくる値が実際のパスとは違っていてエラーになりました。仕方ないんで固定値を設定しています。 うーん、SAStrutsでも違うのかなと思って見てみると、SAStrutsでも取得しているURLは違うみたい。 ここは同じように固定値にしたが、それでも通らない。 色々調べた結果、どうやら
SAStrutsでセッションを使ったログインと認証 - Block Rockin’ Codes
認証の方法は悩みがちなポイントだと思います。コンテナ等の実装も含めると手段は色々あるし、一言に認証といっても、色々な業務ロジックが絡んでくることも多いからでしょうか。 今回はSAStrutsで、sessionとAOPを使ったスタンダードな方法を実装しました。 仕組みはいたってシンプルで、何らかのロジックで認証した後、ID等のデータをセッションに格納して、その有無でログイン済みかを確認するというものです。ログアウトはそのセッションを廃棄することになります。Webアプリケーションでは王道の方法だと思います。 この場合、認証のチェックが必要な場面で同じ処理が必要になるので、SAStrutsではセッションのチェックはメソッドを分けて、AOPでアクションに適応します。 今回は、全体的にログインしっぱなしでいて欲しいので、LoginAction以外では全てのアクションで確認します。 これにより、どのペ
Filterによるログイン情報チェック - 盗鋼石の雑記
SAStruts | 23:24LoginCheckFilterFilterはこんな感じにしました。 public class LoginCheckFilter implements Filter { public void init(FilterConfig arg0) throws ServletException { } public void destroy() { } /** * フィルター処理 */ public void doFilter(ServletRequest req,ServletResponse res,FilterChain chain) throws IOException,ServletException { // リクエスト情報を取得 HttpServletRequest request = RequestUtil.getRequest(); // ログイ
SAStrutsでログイン確認インターセプタを使う - idesaku blog
Webアプリケーションでありがちな「ログイン済みか確認する」ための処理を、S2AOPを使って組み込んでみた。 やりたいことは、「Actionクラスの@Executeなメソッドが呼ばれたとき、ログイン済みかどうかを確認し、ログインしていなければログイン画面にリダイレクトする」である。この処理を全てのActionに書いて回るのは当然ながら面倒なので、AOPで処理を差し込んでしまいたいというわけ。 通常、ログインしているかどうかはHttpSessionが特定の属性値を持っているかで判断する。そこで、次のようなインターセプタを定義する。パッケージを{root}.interceptorとしておけば、勝手にコンポーネントとして定義されるので楽。 ※追記: セッションの使い方が間違っているようです。Seasar 2.4.34以前では、HotDeploy時にClassCastExceptionが投げられる
JavaScript製のOAuthライブラリ·jsOAuth MOONGIFT
jsOAuthはJavaScript製のOAuthライブラリ。 [/s2If] jsOAuthはJavaScript製のオープンソース・ソフトウェア。今ではWeb APIを公開しているサービスは珍しくない。そして従来は配信系ばかりだったが、今ではWeb APIを通じたデータ登録や更新も可能になっている。そんな時の認証の仕組みに使われているのがOAuthだ。 テスト用コード（ここままでは動かないが…） OAuthはTwitterで最も知られるようになったが、元々はFlickrやGoogle、Facebookなどでも使われている機能ベースの認証技術だ。そしてそれをJavaScriptベースで実現したのがjsOAuthになる。 jsOAuthはJavaScriptによる実装なので、ソースコードが見えてしまう。OAuthではシークレットキーを使うので、それが丸見えというのは考えものだ。だがWebブ
ヤマト運輸の対応が素晴らしかった
クロネコヤマトモバイルサイトで情報流出があり読売新聞で取り上げたられた件に関し、早速ヤマト運輸で対応が取られ、発表がありました。 携帯版「クロネコメンバーズのWebサービス」クイックログイン機能の脆弱性への対応について｜ヤマト運輸 この対応の素晴らしさは、タイトルでわかります。「脆弱性への対応」と書かれていて、ヤマト運輸のシステム側に不具合があったことを自ら認めて発表しています。 自らのミスを被害者に見せかける「プロの脆弱性対策」を使うのであれば、ここは「スマートフォンのアプリを利用したなりすましによる不正ログインについて」などと発表してもおかしくありません。 今回の件は読売新聞でも「ｉＰｈｏｎｅで人の情報丸見え…閲覧ソフト原因」と報道されているわけで、閲覧ソフトに責任転嫁するのは簡単な状況でした。それでもヤマト運輸は自らシステムの「脆弱性」だと認め、どういう状況で発生したのかまで発表しま
高木浩光＠自宅の日記 - かんたんログイン方式で漏洩事故が発生
■ かんたんログイン方式で漏洩事故が発生 ガラケーからiPhoneに乗り換えた人々が「ガラケーサイトが見れない!!」とご不満らしいという話は、聞いたことがあったし、そういう方々向けに「ガラケーサイトを閲覧できる」と謳うスマホ用の専用ソフトが提供されたというのも、どこかで見た記憶があった。 そんな10月9日の夜遅く、ある方から、「iPhone用のSBrowserというアプリで、クロネコヤマトのサイトを使ったら、知らない人の個人情報が出てきてびっくりした。どうしたらいいか」という相談が舞い込んできた。 早速、iTunes Appストアで「SBrowser」の商品説明ページを見に行ったところ、数々の雑言レビューが付いており（図1）、この種のアプリの需要とユーザ層が見えた。
ｉＰｈｏｎｅで他人の情報…携帯ＩＤ認証に穴(変更前: 「ｉＰｈｏｎｅで人の情報丸見え…閲覧ソフト原因」) : 社会 : YOMIURI ONLINE（読売新聞）
高機能携帯電話・スマートフォン「ｉＰｈｏｎｅ（アイフォーン）」で携帯サイトにアクセスしたら、他人の会員ページに入り、個人情報を“盗み見”してしまった――。 アイフォーン利用者の間でそんなトラブルが起きている。本来、携帯サイトの閲覧はできないスマートフォンに、携帯電話の識別番号（携帯ＩＤ）を付与して一般の携帯電話に「なりすまし」て、サイト閲覧を可能にするソフトが原因だ。会員の情報が漏れていた宅配大手「ヤマト運輸」（東京都）では、サービスの一部を停止し、被害状況の調査を始めた。 トラブルが起きたのは、ヤマト運輸の「クロネコヤマトモバイルサイト」。サイト上で集荷や再配達の依頼をできるサービスで、９月末現在、パソコンでの利用者を含め約５６０万人が登録しているが、氏名、住所、電話番号、メールアドレスなどの登録情報を他人が閲覧できるケースが確認された。 少なくとも２人から閲覧されていたことが分かった首
クイックログインに“穴”、ヤマト運輸の携帯Webサイトに脆弱性
ヤマト運輸は10月25日、同社が提供している会員制サービス「クロネコメンバーズのWebサービス」の携帯電話版で、特定のスマートフォンから特定のアプリケーションを利用し、「クイックログイン機能」を使った場合に、本人と別のユーザーのページにログインができてしまう問題があったと発表した。現在は、クイックログイン機能を修正し、パスワードの入力が必須となっている。 同サービスは、荷物の集荷依頼や再配達依頼などがWeb経由で可能にするもの。同社が調査したところ、1人のユーザーのページに、別の2人がログインしており、メールアドレスや住所、電話番号などを閲覧できる状態になっていた。該当のユーザーには個別に対応しているという。 問題となったのは、ログインID／パスワードを入力せずに認証を行う「クイックログイン機能」（かんたんログインと表記するサイトもある）。多くの携帯電話向けサイトで実装されているこの機能は
備忘録 : PythonでHTTPのBasic認証を行う - livedoor Blog（ブログ）
Pythonの標準モジュールurllib2を使ってHTTP クライアントを作ってみよう(5) - Basic 認証編 -の例題ページに接続する実験。ほとんどここの写しだが、一部変更しないと認証がうまくいかなかった。 import urllib2 toplevelurl='x68000.q-e-d.net' theurl='x68000.q-e-d.net/~68user/net/sample/http-auth/secret.html' protocol='http://' username='hoge' password='fuga' passman = urllib2.HTTPPasswordMgrWithDefaultRealm() passman.add_password(None, toplevelurl, username, password) authhandler = ur
やる夫と Python で学ぶ Twitter の OAuth - 宇宙行きたい
OAuth 調べてみたら難しくて理解出来なかったので， Python で標準ライブラリだけで 1 から書いてみました． ／ ＼ ／ _ノ ヽ､_ ＼ ／ oﾟ(（●）) (（●）)ﾟo ＼ twitter の OAuth 難しいお… | （__人__）' | ＼ ｀⌒´ ／ ＿＿＿_ ／⌒ ⌒＼ ／（ ●） （●）＼ ／::::::⌒（__人__）⌒::::: ＼ だからやる夫でやるお！ | |r┬-| | ＼ `ー'´ ／ Python のサンプルコードを付けていますが， 上から順に読めるようにおもいっきり手続き型で書いています． コメントで実際の処理の説明を書いています． Consumer Key と Consumer Secret の入手 ／￣￣＼ ／ u ＼ .＿＿＿_ |:
blog.ishinao.net
古い（BASIC認証用の）ZendServiceTwitterを使ってTwitterのbotをいろいろ動かしていたんだけど、そのまま放置していたらBASIC認証が使えなくなって動かなくなっていた。 ZendServiceTwitterも今のバージョンはOAuthに対応しているんで、それに切り替えようと思ったんだけど、OAuthってことはアプリケーション登録してConsumerKeyとConsumerTokenを設定するだけじゃなく、自分のアカウントがそのアプリケーションにアクセスを許可（権限を移譲）するためのAccessTokenとかSecretTokenとかを発行してもらう必要があり、それってめんどくさ、と思ってそのまま放置していた。 けど、Twitterでめんどくさとつぶやいたら、bot用のキー入手方法が用意されてるよ、と教えてもらったので、その情報を利用してOAuth対応したついでに
「OAuth認証が通ると、アプリ作者からはDMも何もかも見放題」という書き方は誤解を招く - aruto's diary
”なる4”の騒ぎの件で、「OAuthの危険性がわかっているのか？twitter関連アプリの作者は何でもできるんだぞ。たとえば、DMは見放題送り放題だ」という意見を良く見かけるのですが、誤解を招く表現なので、twitterクライアント作者の立場から捕捉しておきます。 （TwitterにおけるOAuth認証についての話です。本文の記述から判別できるとは思いますが、念のため。他サービスの場合、事情が異なってくる場合があります） 少なくともデスクトップで動作するアプリは、これらのリスクは（比較的）低い もちろんスパイウェア等は、この限りではありません。 OAuth認証の流れを図にしてみました（あくまで「おおまかな」図です。色々と、端折っています）。 うだうだと書かれていますが、大事なのは「アクセストークン」です。これさえ覚えてもらえれば、他は全て忘れてしまってかまいません。 twitter関連アプ
四時作者の小池です。
四時作者の小池です。面倒だからここに書く。 首記の件はどうでもいいのだけど、 「あ、ちなみにOAuth許可してたらモノにもよるけどアプリケーション側からDMとかも取得できるからね。まあホイホイOAuth登録するんだからDMに住所とかメールアドレスとか大事なこと書いてたりしないとは思いますけどね。」 について。この表現だと誤解を招きそうなので。ユーザーから OAuth 経由での API アクセスを許可されたアプリケーションは、そのユーザーが読むことが出来るデータの全てにアクセスできます。書き込みを許可していればアカウント削除以外のことは大体出来る。 DM を「読む」だけなら OAuth 認可を受けたコンシュマーは誰でもできます。 デスクトップアプリケーションであれば通信を監視すればよいけど、 Web アプリケーションの場合はそれが出来ない(例えば四時と twitter の間で何か通信をしたと
「なる四時」と「なる四時」のユーザが何をやらかしたかのまとめ
なる四時の騒動をまとめとく。（追記:ブクマされてるので念のため書いておくが増田は素人です。技術的な面に関しては参考までにどうぞ。） 間違ってたらトラックバックなりなんなりで訂正してくれ。 きっかけは小池氏（@ssig33）によるテスト。 なるほど白夜じゃねーの #4ji http://twitter.com/ssig33/status/20179930626 ちょっとしたテストで四時全員で俺の発言と youpy の発言ふぁぼらせる http://twitter.com/ssig33/status/20179966911 favoritesがどれくらいの速度出るのか試してみたい http://twitter.com/ssig33/status/20179979441 その結果、以下のpostが大量favされる（favstar参照） http://favstar.fm/users/ssig33
Zend_Authで認証したらセッションタイムアウトが設定時間どおりで容赦なく切れちゃう - Javaとrubyと男と女
えっと何がいいたいのかというとログインセッションの持続時間は、「最後のアクセスから1時間」といった感じに設定したいじゃないですか。それがZend_Auth使って普通にやると、いくら絶え間なくアクセスしてても指定時間がくるとタイムアウトしちゃう。 「最後のアクセスから」という風にするためにこんな感じにしてみた。 アクションクラス class MemberController extends Zend_Controller_Action { public function loginAction(){ require_once 'Zend/Auth.php'; $auth = Zend_Auth::getInstance(); require_once dirname(__FILE__).'/../models/session/Exte
とれっくかいはつ » Zend Framework:認証が必要なページを作成する
Zend Framework:テンプレートエンジンをSmartyにするのサンプルに、認証が必要なページを追加してみます。 Zend_Aclを使って、ページへのアクセスが可能かチェックします。 認証は、Zend_Authを使ってみます。 前提 今回のサンプルは、データベースを使用します。 データベースは、MySQL5以降です。 また、PDOを使用していますので、PDO_MYSQLがPHPに組み込まれている必要があります。 PHP5.2.3をソースからインストールする場合のconfigureの例です。 --with-pdo-mysqlを指定して、PDOを組み込んでいます。 # ./configure \\ --with-apxs2 \\ --with-mysql=/usr/mysql \\ --with-config-file-path=/etc/php \\ --enable-mb
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
YOMIURI ONLINEに掲載された「iPhoneで人の情報丸見え」記事について、当事者から。
ブログが続かないわけ | ログイン処理が簡単と言い切れるか 〜 フィッシング対策も忘れずに
http://japan.internet.com/developer/20100126/26.html