OAuth2をそのまま認証に使ってはいけない理由 〜 雑なまとめ · GitHub

gistfile1.md 最初に読むドキュメント 詳細はこちら参照 → RFC6749 The OAuth 2.0 Authorization Framework (日本語版) 登場人物 リソースオーナー クライアント経由で認可を受けるユーザ クライアント 認可サーバの認可を受けてリソースサーバにアクセスするクライアント iOS, Androidアプリ, JSアプリ, ウェブアプリなど 認可サーバ Facebookなどの認可サーバ(おそらくウェブ画面がある) リソースサーバ Facebookのユーザ情報などにアクセスできるサーバ(おそらくREST API) 自社がOAuth2対応するなら 認可サーバとリソースサーバを自社から提供 クライアントはサードパーティ。協業先のサービスになる。 クライアントアプリの開発とクライアントがどんな状況になっているかは自社から見てアンコントローラブルです！