認可のためのプロトコルのOAuthが認証に使えることの説明

最近、「Facebookのことが分からないので教えてください」とよく頼まれます。ごめんなさい、嘘を言いました。よく、は頼まれません。よくある、とか、しばしばある、は実体以上に良く見せようとする時に使う常套句です。気をつけて使おうと思います。 それはともかくとして。 Facebookは確かに難しいです。REST API(名前がRESTですがまったくRESTfulではないWeb API)からGraph APIへの変遷、FBMLからXFBML(参照)への変遷、そしてXFBMLの存在を隠蔽するプラグインへの変遷、更に今をときめくLikeボタンからDislikeボタン()への変遷、など諸々まとめて、「Facebook vs. OpenSocial」のお題で社内勉強会をしようと思っています。 しかし内容が多すぎるので、これらの技術の中で基盤となるOAuth 2.0(まだドラフト段階です)を取り出して、

[cnomiya]

OAuthが権限委譲(認可伝達)プロトコルなのは事実です｜Facebook上の誰々、twitterのidが何々の人、という形で認証伝達しています。事実追認の形でこれを「OAuth認証」と呼びます。

[sugimori]

認証と認可。

[abe_hn]

OAuthは認可のためのプロトコルだけど、FacebookやTwitterのサービスを使ってる＝FacebookやTwitterにおける誰々ですを保証するという点で、FacebookやTwitterの誰かという意味での認証に使えるってことでいいのかな。＠＠

[kohkimakimoto]

認可は認証を含むことができる。しっくりきた。「サービスAが誰々の文書への全権限を与える認可をサービスBに伝えたとしたら、事実上、そのユーザはサービスA上の誰々に他ならないと見なせます」

[teppeis]

認証と認可

[gidooom]

OAuthで権限委譲させちゃうと何されるか分からないからOpenIDで認証までに制限したいっていうケースもあると思う。

[tinsep19]

なぜなら、誰々の文書への全権限を与えたことが誰々に他ならないかはサービス側の都合であって、権限委譲プロトコルのひとつの利用方法に過ぎないからです。

[nanakoso]

用語の整理

[river2470]

認可のためのプロトコルのOAuthが認証に使えることの説明 | ありえるえりあ

[tmatsuu]

よくわからない。ここで言ってるOAuth認証も結局認可じゃね？