アプリで「ログインしっぱなし」はどのように実現されているか？ - Qiita

このツイートを見て、「アプリで再ログインを頻繁要求されるってユーザビリティ良くないな。」と思ったのですが、普段裏側の仕組みは意識していなかったりテックリードの方に任せきりだったりしていたので、これを機に調べてみました。 そもそもスマホアプリ の時代、もはやauthenticationですらないと思うのよね。（何を言ってるかわからねえだろうと思うが。） — Hiromitsu Takagi (@HiromitsuTakagi) 2019年7月8日 この記事は「アプリでログインしっぱなしは、どのように実現されるの？」という疑問と調べた結果を共有するために書いていきます。 間違いや「もっとこんな仕組みが使われてるよ！」等のツッコミがあれば、どしどし貰えると助かります！ 疑問1. アクセストークンという仕組みとは？ 「なぜアクセストークンという概念が必要なのか？」 モバイルアプリでユーザー認証をし

[truer]

はてぶアプリは逆にすぐログアウトしててログインする気なくす/iOSだけど端末によって挙動が変わってるのかな？

[arisane]

はてブアプリでログアウトされたことないけどAndroidとiOSで仕様違うのか？

[mollifier]

元ツイートと言ってること合ってないよ。元ツイートは、むしろクレデンシャル情報を勝手に作成、ローカル保存して使っていいでしょって言ってるんだよ。

[JULY]

元のツイートは、今どきのスマホゲームのような、認証そのもの無しでサービスを提供している話で、この記事は、認証後の状態をどう保持しているか、なので、ちょっと違う（多分）。

[marmot1123]

iOSだがはてブアプリログアウトさせられたことほとんどないよ。

[taruhachi]

リフレッシュトークンは本来、エンドユーザーには渡さずに、信用できるクライアントのサーバ上で隠蔽されている必要があると考えている。渡すのならそもそも通常のトークンの生存期間を伸ばせばいいだけ。

[yoiIT]

iOSで、はてブアプリは時々ログアウトされる。決まったタイミングでもないので理由がよくわらない。裏の仕組みを改修したときとか？

[Nyoho]

access token だけでなく refresh token というのがあるのを知らんかった!

[nilab]

「アクセストークンの有効期限は短いのでリフレッシュトークンという有効期限の長いトークンを合わせて発行し、リフレッシュトークンを使う事で新しいアクセストークンを得られる」

[hiromi_ayase]

通常アクセストークンは署名検証等によるステートレス認証だから高速だけど失効が難しいので、有効期限を短くする代わりにちゃんとDB問い合わせで認証するリフレッシュトークンが別途用意されているという認識です。

[cubed-l]

せっかくだから「認証」の方を調べましょうよ。「スマホアプリの時代」だと何故「authenticationですらない」のか。

[masa0x80]

“する”

[hate_nao]

iOSはキーチェーン。Androidは…？

[mirinha20kara]

iOSだけど前ははてブアプリログアウトされることなかったのに、いつからか時折ログアウトされるようになった。多いと一日に複数回起こる。

[mugicha1000]

面白かったー アプリ屋さんじゃないので本当か知らんけど

[paradisemaker]

このへんも結構知らない人多い

[frkw2004]

なんとなく、ドラクエの復活の呪文を内部に持っててサーバーに繋ぎにいくときに渡す感じ。

[h1roto]

yahoo系のアプリはログアウトして使ってても勝手にログインするのをやめてくれ

[satoruta]

ログインし続けてると思ったら突然の強制終了で悲しみ

[t-tanaka]

一部の暗号には「同一のデータが含まれている暗号文」を大量に集めて分析する攻撃方法が知られている。なので，常に送受信されるアクセストークンとは別に，送受信の頻度の低いリフレッシュトークンをつかう。

[renovicxtan]

iOSだけど一度も勝手にログアウトさせられた事ない。

[pptppc2]

はてブはiOSだと勝手にログアウトされる。PCのブラウザも同じ。何故かandroidはされない。iOSとPCブラウザは他の場所でアカウントログインするとログアウトされる仕様なのではないかと。

[qtamaki]

はてぶアプリ一時期狂ったようにログアウトしていたけど、最近は直ってる

[Domino-R]

リフレッシュトークンの存在意義が分からない。トークンの有効期間を長くすることも可能なのね。

[NOV1975]

通常の自分のアプリの認証はoauthでやらんよ。クレデンシャル情報の取り扱い方を「人間が考える」のをやめようぜって話。

[public_key]

ユーザー視点だと、めちゃくちゃ長い有効期限のアクセストークンを使ってたり、リフレッシュトークンの代わりにID/passをやりとりしてたとしても気付きにくいという点がありそう。

[zumrud]

マストドンで見た

[z1h4784]

多分手抜きしてアクセストークンの有効期限を長くしているアプリの方が多いと思う

[memoryalpha]

"アクセストークンの有効期限は短いのでリフレッシュトークンという有効期限の長いトークンを合わせて発行し、リフレッシュトークンを使う事で新しいアクセストークンを得られる。 この仕組みでログイン維持"

[otihateten3510]

ここら辺何度やっても苦手

[kanayak]

認証だけでも、サーバークライアント間ではこれだけ複雑な処理が。 ありがとう、開発者の方々‼️ お身体だけは、ご自愛を

[anklelab]

あとで読む。