Facebookが考える署名付きCookieを用いたブラウザアクセスとは - r-weblife
今日は、この前の続きを少し。 Facebookのここ最近のアナウンスにより、OAuth 2.0 + HTTPS化が進めらるような話が聞こえてきましたがそれは特に心躍るような話ではありません。 個人的に気になるのはこの部分です。 A secure signed cookie specification. While we're moving Facebook to use HTTPS, the vast majority of the Internet still sets session cookies in the clear. The MAC Access Authentication specification is a secure session cookie protocol designed to provide cryptographic protection agains
JSON Simple Sign 1.0 draft 01を読みながら書いたメモ - r-weblife
今日はJSON Simple Sign 1.0 draft 01を読む時間を作ったのであとで忘れないようにメモを残す。 これを使えば、OAuth 2.0のレスポンスに使われているJSON形式のレスポンスに署名をつけたりできます。 仕様メモ Abstract この仕様はJSONにシンプルな署名をするメカニズムを定義しています。 2. Signature Parameters 署名を作成するためのアルゴリズムや証明書の場所などのパラメータ。 - algorithm - thumprint - certs_uri - key_id 2.1 JSON Serialization JSONオブジェクトの配列にしたもの。 2.2 Web Token Serialization JSON Serializationをbase64url eoncodeしたものがWeb Token Serializatio
OAuth 2.0周りの仕様ドキュメントについて - r-weblife
気になってる方々、最新のSpecはこの辺ですよ。http://tools.ietf.org/id/oauth http://tools.ietf.org/html/draft-ietf-oauth-v2 : The OAuth 2.0 Protocol こいつの説明はやめときます。 http://tools.ietf.org/html/draft-recordon-oauth-v2-device : OAuth 2.0 Device Profile OAuth Core 1.0a で定義されているフローはwebとclientの２つなわけです。 1.0aのClientのフローなんて手動のToken入力なんかが必要なので、まぁ使われないだろうなーとおもいつつ[Yahoo! JAPANではしの仕様に対応している|http://techblog.yahoo.co.jp/web/openid/oau
RPXのしくみを細かく調べる前にとりあえず実装してみた - r-weblife
最近、RPXやFacebook Connect,Google Friend Connectあたりをもう一度調べて、より開発者にやさしいOpenID/OAuth wrapperを考えてみようかなと思っています。 で、とりあえず動かしてからだろってことで、最初はRPXです。 RPXの認証を実装するためのドキュメントはこちら。 Developer Documentation - Developer Documentation | Janrain ちなみにお金がないので無料のBasicプランです。 できることも少なそうなので、今回やることは簡単です。 認証画面にユーザーを送る際に、token_urlを指定 認証後にPOSTで送られてくるtokenパラメータを用いてRPXのAPIをたたき、認証済ユーザーの属性情報にアクセス OpenID/OAuthの処理をRPX側で全部やってくれる。 こちらは認証要
The Introduction of OAuth WRAP vol.1 : Web App Profile on FriendFeed - r-weblife
OAuth WRAPって知ってますか？ http://developers.facebook.com/news.php?blog=1&story=350 http://bret.appspot.com/entry/oauth-wrap OAuth / OAuth WRAP Google グループ OAuth WRAP - Codin’ In The Free World まだ仕様を細かい部分まで読めてないのと、JavaScript Profileなどこれからまだまだ拡張されていく段階のようなので、偉そうに仕様を語るのではなく、今回はFacebookの人たちがFriendFeed上に実装したProviderを使って流れを確認してみます。 ここではWeb App Profileという、3-legged OAuthやYahoo!のBBAuthのような使われ方の部分の実装を確認します。 Pytho
カオスなID業界でこれから増えるかもしれない仲介業社のために - r-weblife
久々にIDのこと考えてるので何か抜けてるかもしれません。 最初に言いたいことはこれです。 ID連携のしくみって、今更一つにまとめられるものではない RPとOPを仲介するひとたちを想定した拡張を考えてもいいのでは？ ここから現状をダラダラと書き連ねてみます。 OpenIDもこれからもっと使いやすいものになるでしょう OAuthもまだまだこれからですよ SAMLはなくならないですよ なぜOPというかIdP達は使う仕様をそろえないのでしょうか？ 世の中には、（いい意味でも）たくさんいいしくみがあるからでしょう。 WebならやっぱりOpenID。Y!やGならHybridで！ APIとセットで出すなら、twitterのようにOAuthで！ 独自でも使われるFacebook 昔からSAMLでやってます！ もしかしたら、古い独自ID連携は実装も大変だけど、OpenID or OAuthのどちらに移行すれ
【宿題】twitterのcallback URLのあたりについてはっきりさせたい！ - r-weblife
■ 目的 何度となく調べているtwitterのOAuth仕様だが、callback URLのあたりがまだ曖昧 ( twitter,FriendFeedのOAuth実装について - r-weblife ) ■ 今回調べること BrowserAppのoauth_callbackによるふるまい ClientAppのoauth_callbackによるふるまい ■ BrowserAppのoauth_callbackによるふるまい ConsumerAppの情報は以下のとおり Type : Browser callback URL : http://r-weblife.sakura.ne.jp/test/twitter/afterAuthorization.php (1) callback URL指定なし RequestToken取得要求時、Authorizationエンドポイントへのリダイレクト時の両
twitter,FriendFeedのOAuth実装について - r-weblife
■ 目的 twitterベースなマフィアゲームのおかげで一気に話題になったOAuth。 ここまできたら、みなさんにもっと詳しく知ってもらいたいということで、以下２つのサービスが実装したOAuthの仕様を見直してみます。 twitter : http://apiwiki.twitter.com/Twitter-API-Documentation FriendFeed : http://friendfeed.com/api/documentation 以下、OAuthをいくつかのステップに分けて仕様を見ていきます。 ■ Consumer登録 必要な情報 □ twitter Application Icon Application Name Description Application Website Organization Website Application Type Callback
MobstarWorldのOAuth利用スパムについて - r-weblife
最近、エンジニアとして調子悪いので、他人のブログエントリから復帰のタイミングを探っていきます。 今日はまちゅさんのこのエントリに注目！！ OAuthを悪用したTwitter DMスパムが登場 - まちゅダイアリー(2009-08-01) ■ まず、言っておきたいこと この件は、OAuthのセキュリティ脆弱性の件とは異なる twitterのUIが問題だと思っているので、これでOAuth使ってるとこ全体が悪者扱いされたら会社辞める ■ 整理 「自分のフォロワーにDM送信」する機能がtwitterのAPIで実装されている twitterはユーザーに対して、「MobsterWorld」に自分のアカウントに対して「access and update（←これがScope）」させてもいいか聞いてる ユーザーがallowしちゃうと、「access and update」の機能の一つであるDM送信の機能を「
MySpaceのAPIを使ってみた。 - r-weblife
■ 目的 目的としては以下の3点で、取得できたデータを表示するだけのコードを書きました。 OpenID OAuth Extensionを利用する Portable Contacts APIを利用する Activity Streamsも取得する OpenID,OAuth,PortableContacts,OpenSocialの要素を含んで、なんかSocialWebな感じじゃないですか？ PoCoのパラメータあたりなど勉強不足でフル機能を使えてない気もしますが、、、 ■ 読んだドキュメント http://wiki.developer.myspace.com/index.php?title=Portable_Contacts_REST_Resources http://wiki.developer.myspace.com/index.php?title=Standards_for_Activit
Hybrid Protocol on Google App Engine - r-weblife
TwitterでGoogle App Engineの記事を見つけました。 http://www.bubblefoundry.com/blog/2009/05/openid-and-oauth-on-app-engine/ とりあえずこの人はGoogle App Engine上でDjangoのライブラリを使ってOpenIDとOAuthでgDataの・・・ Googleのドキュメントを見てみます。 http://code.google.com/intl/ja/apis/accounts/docs/OpenID.html これ、Googleをサンプルに使ったHybrid Protocolの説明ドキュメントとしても素晴らしいできなんじゃないかと思います。 これ、少し訳して参考にしよう。。。
The method to update your application from OAuth Core 1.0 to 1.0a - r-weblife
米Yahoo!がOAuth Core 1.0 Revision Aに対応しました。 http://developer.yahoo.net/blog/archives/2009/05/oauth_update_3.html http://developer.yahoo.com/oauth/guide/oauth-auth-flow.html http://oauth.googlecode.com/svn/spec/core/1.0a/drafts/3/oauth-core-1_0a.html OAuth Security Advisory 2009.1 — OAuth 説明は省略して、結局今までOAuthのConsumerを実装してた人はどうすればいいのかをざっくりまとめておきます。 以下の4つの対応が必要です。 Request Token取得要求時にoauth_callbackパラメータを
OAuth on Yahoo! JAPAN - r-weblife
少し反響を見てみよう、と思ったけど反応少ない。 http://blog.okanomail.com/2009/07/yahoo-japan-to-be-oauth-provider-oauth.html OpenID は普及したといっても今ひとつ盛り上がりに欠けていますが、 OpenID の欠点を補って開発された OAuth が普及すると、 この二つを組み合わせて本当にひとつの ID で用をなす世界がやってくるようになるかもしれません。 http://blog.okanomail.com/2009/07/yahoo-japan-to-be-oauth-provider-oauth.html 文章の詳細にはあえて長々とコメントしないが、「OpenID の欠点を補って開発された OAuth」という認識がされているのであれば、このへんの関係者はもっとOpenIDとOAuthの関係を明確に周知して
【仕様紹介】Yahoo!のOAuthでUser Authorization URLにつけるRequest Tokenパラメータはオプションです - r-weblife
OAuthの処理で、End UserをSPにリダイレクトさせてリソースアクセスの認可をなんちゃらするときに、Request Tokenをパラメータとして追加するのが暗黙の了解になってます。 が、仕様 OAuth Core 1.0aで"6.1. Obtaining an Unauthorized Request Token"のあたりにはこう書いてあります。 oauth_token: OPTIONAL. The Request Token obtained in the previous step. The Service Provider MAY declare this parameter as REQUIRED, or accept requests to the User Authorization URL without it, in which case it will promp
Yahoo!IncのOAuthがUI改善を実施 - r-weblife
この件について解説します。 http://developer.yahoo.net/blog/archives/2009/06/oauth_update_ux.html ■ 背景 Yahoo!はOAuth,OpenID,BBAuthについて、ID/PW認証、認可を行う際に外部サイトにYahoo!への「リダイレクト」を要求するUIを利用してきました。 多くの開発者はそのUXが"disruptive"だとわかっていました。 ■ 何が"disruptive"なのか？ ユーザーの画面遷移は次のようになります。 0. 【外部サイト】未ログインページ 1. 【Yahoo! JAPAN】ログインページ 2. 【Yahoo! JAPAN】利用規約同意画面など 3. 【外部サイト】ログイン済みページ 私たちのような開発にかかわるものにとっては当たり前のフローなのかもしれませんが、0から1に遷移するとき、ユーザ
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
