Twitterさん、OAuthのアクセス権限の細分化を！ : akiyan.com

Twitterさん、OAuthのアクセス権限の細分化を！ 2010-09-07 TwitterのOAuth認証を利用するサービスを作ってみたが... 一昨日の日曜日(9/5)に、クックパッドさんのオフィス提供による 『TFJ CodeCamp #2』 という1日開発合宿に行きまして、TwitterのOAuth認証を使ったサービスを初めて作ったんです。ユーザーのタイムラインを読んでいろいろやってくれるタイプのサービスを。で、実際OAuth認証するサービスを公開することを考えてみたんですが、どーにも無視できないリスクがありまして。 まず、TwitterのOAuth認証のアクセス権限レベルって、「全部のデータが読める」or「何でもできる」しかありません。今回のサービスはタイムラインさえ読めればいいのですが、OAuth認証としては全部のデータを読める要求しかできなくて、その認証をしてもらったならば

[cubed-l]

今さらながら。趣旨には同意するんだけど、OAuth「認証」ってのはちょっと。OAuthは認可のためのプロトコルだし

[hiromark]

これはたしかに。

[laiso]

中卒だけど適当に訳して http://code.google.com/p/twitter-api/issues/detail?id=1164#c4 に放り込んだ(添削希望)。

[makotokaga]

これはほんと必要。

[mame-tanuki]

【追記】はてブのRT表示機能の困った動作発見。はてブtwitter連携投稿より先に「 http://htn.to/UbhChi」を含むつぶやきをtwitterに投稿すると、直近のはてブtwitter連携投稿者（ここでは bynn_chapu 氏）の下にツリー化されるのね…orz

[rytich]

ぼくもそう思います

[DustOfHuman]

必要だとは思うけどTwitterが手を付けてない理由はなんかありそうな気がするんだよねえ…

[KOROPPY]

前から思ってた。ぜひ細分化して欲しい。

[PoohKid]

投稿機能とDM機能が切り分けられていないのはおかしいよね、支援

[bynn_chapu]

2通りは前からセキュリティ的に大丈夫か？と思う事があるなぁ

[realtime24]

Twitterさん、OAuthのアクセス権限の細分化を！

[takimo]

しえん

[mongrelP]

ガチで英語で宣言すべきだと思うんだ。DM読めるとかたしかにいらんし。

[skur2]

TwitterのOAuth認証のアクセス権限レベルって、「全部のデータが読める」or「何でもできる」しかありません。=DM(Direct Message)も読み出し放題

[h_tasuki]

これは認識しとかんとあかんねぇ

[itochan]

↓知らなかった人がそれなりにいる様子。　知らなかったってことは、誰かのappの「利用契約」が、実際には無知のままの同意だということ。　devレベルで理解されていても意味はない。利用者レベルで理解されなければ。

[buty4649]

これは同意。細分化して欲しい！

[y-kawaz]

これは前からずっと思ってた。なんかもうリードやライトどころか何の権限も無い「単に認証成功した」ってレベルも会っていいと思うよ、OpenIDと同じノリで「ツイッターでログイン」とかに使う用途で。

[masterq]

DMが読まれちゃうのはどーなんだと

[skaphy]

前からそう思ってるけどなかなか対応してくれない

[nippondanji]

速攻で要らないのをRevokeした。 https://twitter.com/settings/connections

[lovecall]

私からもお願いします＞＜

[Naruhodius]

うは

[willnet]

TwitterのOAuth認証のアクセス権限レベルって、「全部のデータが読める」or「何でもできる」しかありません

[dk19810313]

あー、これは確かに。何だって出来ちゃうもの。めんどいし、覗く暇もないのでやんないけど。

[raitu]

「DMを読める立場になんか立ちたくない」そりゃそうですよねー。

[tsupo]

せめて Jaiku のように、authorize リクエスト時に、引数で権限を指定できるようにすればいいのに、とは思う。権限が細分化されてないのは変わらないけど。動的に権限を変更できるようにはなる。

[mirai-iro]

ぼくも同じことを何度か書いてるけど、ここまでの反応はなかった 悲しい

[nekoruri]

Twitterさん、OAuthのアクセス権限の細分化を！

[shaw]

実際問題、そろそろそういう実装が必要だと思う今日この頃。