OAuth 2.0 + OpenID Connect のフルスクラッチ実装者が知見を語る

認証は単純な概念で、別の言葉で言えば本人確認です。Web サイトにおける本人確認の最も一般的な方法は ID とパスワードの組を提示してもらうことですが、指紋や虹彩などの生体情報を用いた本人確認方法もありえます。どのような確認方法だとしても (ワンタイムパスワードを使ったり、2-way 認証だったりしても)、認証とは、誰なのかを特定するための処理です。開発者の言葉でこれを表現すると、「認証とは、ユーザーの一意識別子を特定する処理」と言えます。 一方、認可のほうは、「誰が」、「誰に」、「何の権限を」、という三つの要素が出てくるため、複雑になります。加えて、話をややこしくしているのは、この三つの要素のうち、「誰が」を決める処理が「認証処理」であるという点です。すなわち、認可処理にはその一部として認証処理が含まれているため、話がややこしくなっているのです。 認可の三要素をもう少し現場に近い言葉で表

[field_combat]

技術解説。「ドキュメントを読まずに不具合を出して時間を無駄にしている奴は、ただの自業自得なので、救う価値など無いのですよ。」

[tasukuchan]

ちょーどOAuthサーバを実装しないといけないので

[vanbraam]

via b:id:entry:280018642;"認証とは、誰なのかを特定するための処理"<細いけど,それはidentificationであってauthenticationじゃない.authnは"来た人が主張してる通りの人物かを確認する処理";OpenIDはOpenID Connectより複雑な仕様の筈

[nntsugu]

“何かを生成するときは、それをどの契機で消すのかも同時に検討しましょう。”

[Jxck]

フォローアップ > http://oauth.jp/blog/2016/02/24/is-openid-connect-far-from-oauth2/

[hdkINO33]

“しかし、真のエンジニアになりたければ、RFC を読むことを避けてはいけません。 技術ブログや Stack Overflow の答えをあさっているだけでは決して正しい場所には辿りつけないのです。”

[kiririmode]

oauth「認証」についてこちらもわかりやすい

[Steiger31226]

“OpenID”

[tetsuyasato]

“。 自社サービスでは、ユーザーのデータを管理している。 自社サービスのユーザーが使うアプリケーションを、第三者に作成してもらいたい。 第三者が作成するアプリケーションには、ユーザーの ID とパスワードを教

[vvakame]

案外違ってヤバいらしい事がわかった…

[b-wind]

“最も混乱を招いている「OAuth 認証」という言葉について説明します。”

[kuy]

ありがたい記事。

[castor]

“OpenID Connect”

[masawada]

大作

[gologo13]

読んだ。勉強なった。

[yosuke_furukawa]

途中からAPIドキュメントを読まずに実装する人への苦言の話が始まる良い話だ。

[tinsep19]

実装したのか、すげぇなぁ。

[bash0C7]

じっくりよもう... OAuth 2.0 + OpenID Connect のフルスクラッチ実装者が知見を語る by @darutk on @Qiita

[tmatsuu]

あとでよむ

[bigwest]

[OAuth][OpenID]

[koroharo]

『ドキュメントを読まずに不具合を出して時間を無駄にしている奴は、ただの自業自得なので、救う価値など無いのですよ。』

[Kiske]

ところどころに入ってる考察つぶやきがおもしろい

[hkdnet]

よむ

[razokulover]

厚みすごいな

[hylom]

やはりOpenID ConnectはOAuth 2.0とはちょっと離れたものなのか。違和感は感じていたが。

[masa_w]

"あたかも既存の OAuth 2.0 の実装上に綺麗に乗せられるような印象を与えていますが、実際は全くそんなことはないです。" そうだったのかぁ…

[travelershouse]

http://qiita.com/TakahikoKawasaki/items/f2a0d25a4f05790b3baa

[luvtechno]

知見