なぜソーシャルログインの際にemailをキーにして参照するのか

ritouです。 Digital Identity技術勉強会 #iddance Advent Calendar 2023 の 初日の記事です。 こちら、参加者を募集中です！気軽に参加してみてください！してくれよ！はよ！ なんの話か ちょっと想定以上に反応をいただいたこちらの記事について、ちょっとだけ補足をしたいと思います。 なんの話か詳しく 自分のはてブのコメントをつけたポストにもたくさん反応いただきました。 実際、海外のサービスはメアドをキーにして参照してるところも多く これはサービスのDBのUserテーブルがemailをプライマリキーにしているという話ではありません(が、そう思われた方からDMが来ました)。 最初にパスワード認証やメールでリンクを送信して認証させる仕組みを実装している状態から、ソーシャルログインを実装しようとする際に "email" をキーにした参照をすることがあるんよ

[thesecret3]

Yahoo!がOpenIDをやめるという暴挙に出たことがある。ソーシャルログインはメールの逃げ道を作っておかないと危ない。

[deep_one]

要点は「既存IDと勝手に統合する危険性」なのかな。だとしたらタイトルがよくない。／先に嘘のEmailでユーザーを作ってスクワッティングかけられていたらやばいだろう。（Emailの嘘の登録ができると問題になる。）

[turanukimaru]

もっと単純な理由としては「ユーザがアカウント名を忘れるから」ってのがある。希望のアカウント名が重複とかで取れなかったユーザはホント忘れる。（あれパスキーってID入ってる？IDに持ち替えろ？私誤読してるな？

[kazuau]

どこから連携ログインしてるか(あるいは個別のパスワードか)忘れちゃうから、入口のボタン間違ったときに該当無しとか新規登録とか言われるとユーザーが困惑するので、自動で追加連携するようにしてるのでは

[nemoba]

こうなって無いと実際使い勝手悪いし、こうなってるせいでアカウント乗っ取り事例も起きてた(はず)し、まあ難しい。

[orangehalf]

SSO連携時にIdPとSP間のユーザ識別子にメールアドレスを利用するとIdP側で利用メールアドレスの変更があった時にその変更情報がSP側サービスにはわからないのでユーザの特定ができなくなるからやめてという話かな

[harumomo2006]

メリットはメアドにしておけばユーザーが忘れにくい、会員登録時にIDが被って登録できずに諦める人がいなくなる、かな。外国のよくある無料サーバーは連番のIDが付与されて次回からは番号でログインするところが多い

[Karosu]

自分で認証を組んでみるとよくわかる

[mohno]

「なぜ」と聞かれたら、個人ごとにユニークなメールアドレスを持っていると想定しやすく、任意文字列のように重複を気にしなくていいから、だよね。ときどき番号でログインするヤツがあるけど、覚えてない。

[ext3]

なんか問題あるのか？

[hiroomi]

“現X(当時のTwitter)は最初にUserIDの紐付けの方を見ていた気がしましたが、最近試した時はメアドしか見てないようでした。”

[NAPORIN]

“"ユーザー自身の連携" 機能を端折ることで無視できない小さい落とし穴が生まれるんだということだけは覚えておきましょう”

[sionsou]

ユーザー個別の連絡手段と認証のための手続きがなぁ。もっと別の固有識別IDがあれば楽なのだが。

[twotiger]

ユーザー目線だと、個人的には、長く使おうと思ってるウェブサイトだと、ソーシャルログインじゃなくて、メールアドレスでアカウント作ることにしてる

[burabura117]

色んなものがGoogleアカウントにひも付きすぎてるから、そろそろ真面目にDIDに移行していきたい気持ちはあるけどどこも対応していない

[ghostbass]

まあ認証処理は難しいって話

[kamm]

海外サービスとか関係なく国内でも多数見かけるが。メールアドレスで名寄せしないサービスだと、Googleアカウント連携アカウント作ったのを覚えてなくてTwitterアカウントで新規アカウントを作っちゃったとかよくある。

[Falky]

メアドの取り扱いは悩ましいよなあ

[fujihiro0]

メアドを放棄した後に別人にそのメアドをとられた場合に勝手にグーグル連携されて別サービスのアカウントが乗っ取られるということをいっているようだけど。大きな問題になるとは言えないような。

[Peophrun]

そういえばnotionがソーシャルログインでしかアカウントを作れなくなっていて困っていた

[nakamura-kenichi]

そら理想と現実やでなｗ。「なぜ」と言うもんはとっととemail捨てた認証実装進めたらええんやでｗ。まあここまで定着して混乱の昨今やが、emailの「あり方」が変わったらブレイクスルーする気がするやで。

[miki3k]

サービスAとサービスBの紐付けのキーにメールアドレスを使う

[emt0]

経営と営業サイドが求めてくる（わかりやすく、簡単）大体キャリアメール未だに使ってて格安SIMに移行しない人。あと信じられないけどマジでメルアドとかをキーにしているシステムはある。理由とか知りたくもない。

[uunfo]

最後のXのGoogle連携については、メールアドレスの所有者確認が取れたからログインできると言うことでいいのでは。パスワードリセットとかログインURLをメールに送るのと同じようなこと

[Shinwiki]

所属を表せるからでしょ？そう言うレベルの話ではなくて？

[taruhachi]

連携の話ね。

[everybodyelse]

これ昔考えたことあるやつだ。昔と違ってメアドの変更は普通にできるから安易にメアドをキーにして紐つけたらダメよね、というのはわかる。

[mitaro]

似たようなことしてくれって言われてるやつだ……困った話だ……