GitHub - royclarkson/spring-rest-service-oauth: A simple OAuth protected REST service built with Spring Boot and Spring Security OAuthYou signed in with another tab or window. Reload to refresh your session. You signed out in another tab or window. Reload to refresh your session. You switched accounts on another tab or window. Reload to refresh your session. Dismiss alert
Web API認証について
最近、Web APIの認証をどうすべきか考えている。 例えば次のようなケースをどうするか。 「既存のWebサイトがあり、既にユーザＩＤとパスワードによる認証によって、ブラウザでデータを提供している。 今回、この提供データをブラウザの画面ではなく、REST APIにて取得可能にしたい。 このデータはユーザ毎に取得可能な値が違うので、認証、または認可によって制限をかけたい。」 ユーザーがブラウザからIDとパスワード(以下ID/PW)を使ってログインする方式を、そのままWeb APIにも適用しても安全なのだろうか。 Web APIの先にはスマホアプリやシェルスクリプトなどから直接ログインするものなどが考えられるが、安全かつシンプルに実装するにはどうしたらいいのだろうか。 私はセキュリティの専門家ではないので間違った考え方をしている可能性もあるが、誰かの目に留まって助言いただけるかもしれないので、
特定のクライアントを許可している Twitter ユーザーの Token Credentials を入手する攻撃 - ひだまりソケットは壊れない
怪しいクライアントを許可していないのに勝手に twitter で DM が送信されていた 何やら Twitter で勝手に DM が送られるという事案が発生していた模様。 調査の結果、ある web ページにアクセスしただけで、Twitter の token credentials が攻撃者に知られてしまう *1 ということがわかったらしい。 下記ページにまとめられていたのだけどパッと読んですぐには攻撃手法を理解できなかったので、いろいろ考えたことを書き残しておく。 「ちょっとこれみてくれない」とurlを送るスパムDMの解析と解説 - Togetter 簡潔な解説が以下の記事にあったので、簡潔な説明で理解できる人は下記記事参照。 gist:5053810 (DM踏んだだけでアレな件はTwitterのOAuth実装がク○だと思う) 【拡散希望】twitterの新型ウイルスがヤバい URL踏んだ
Changes to the 'Sign in with Twitter' flow | Twitter Developers
We just made some changes to our OAuth 1.0A flow, enabling applications to better control automatic redirection behavior in the "Sign in with Twitter" flow. With these changes, we recommend you log in to dev.twitter.com and review the applications you’ve created and the specific OAuth options available to them. We’ve brought back the Allow this application to use 'Sign in with Twitter' option. You
gist:5053810
gistfile1.md DM踏んだだけでアレな件はTwitterのOAuth実装がク○だと思う これの話です。 http://togetter.com/li/463503 (追記 : この考察ではiframeでTwitterの認可URL指定してもX-Frame-Options設定されてるやんけ問題が未解決と思ったらなにやら更新されてたのでもう様子見) 前提条件 あくまでこれ前提で考えてます。間違ってたらごめんなさいね。 モバイルアプリの通信盗聴や某市長の手違いみたいな感じでConsumer Key/Secretを入手したやつがいる DMのリンク先で行われているらしいこと iframeがいっぱい開かれた 有名なTwitter Clientの認可画面だ : (本家の認可URLもしくはCunsumer Key/Secretを知っててRequest Token取得できた？) 画面を開くだけで自動
OAuthの認証にWebViewを使うのはやめよう
AndroidからTwitterへアクセスするためのライブラリとして，Twitter4Jが有名です． これを使ってみようと，「Android Twitter4J」と検索すると 認証にWebViewを使った例がたくさん出てきます． ・・・いや，ちょっとまて． それはちょっとまずいだろう． そういうわけでもうちょっと賢い方法を探してみました． 何がまずいのさ 「Android Twitter4J」と検索すると，上位にこんなページが出てきます． Twitter4jを使ってOAuth認証をアプリ内で行う方法 Twitter4j-2.2.xを使ったOAuth認証のコーディング例 twitter4jでツイートする Android+Twitter4JでOAuthするためのソースコード 上のサイトでは次の様は方法をとっています． アプリ内にWebViewを貼り付け WebViewでTwitterの認証画面
OAuthコンシューマの仕組みと実装 〜 Ruby編 - しばそんノート
前置き 前回の記事でOAuthを使ってTwitter APIにアクセスすることができるようになりましたが、ruby-oauthは内部でNet::HTTPを呼び出しているため、そのままではGoogle App Engine for Java上のJRuby(以下JRuby for GAE/J)で利用できません。 「JRuby for GAE/JでもNet::HTTPが使えるようになる」というrb-gae-supportと組み合わせればOKなのかもしれませんが*1、OAuthの仕様自体はシンプルなものですし、せっかくなので勉強がてら自分で実装してみることにします。 車輪の再発明おいしいです！*2 ちなみにタイトルにRuby編と付いていますが、他の言語編を作成する予定は特にありません。 OAuthの仕様 実装の前にOAuthの仕様や、そもそもの成り立ちについて調べました。既にわかりやすいまとめ記事
[C#] OAuth認証を利用しクライアントアプリケーション(デスクトップアプリケーション)から Twitterにつぶやきを投稿する
目次1 はじめに1.1 用意するライブラリ2 OAuth認証のしくみ3 アプリケーションの登録3.1 現在の手順3.2 以前の手順4 実装4.1 OAuthToken取得4.2 TwitterAPIの呼び出し4.3 その他5 ライブラリ部5.1 修正等5.2 以前のバージョン6 サンプルアプリケーション:アクセストークン取得6.1 UI6.2 コード6.3 実行結果7 サンプルアプリケーション:ツイート投稿7.1 UI7.2 コード7.3 実行結果 はじめに 今回はデスクトップアプリケーションから、OAuth認証を利用してTwitterにつぶやきを投稿してみます。OAuth認証を用いると、Tweetの下部にクライアントアプリ名が表示され、ちょっと見栄えもよくなります。また、APIの呼び出し回数の制限も緩和されるらしいです。 OAuth認証は、手間のかかる実装がいくつかあるため、今回はライブ
![[C#] OAuth認証を利用しクライアントアプリケーション(デスクトップアプリケーション)から Twitterにつぶやきを投稿する](https://cdn-ak-scissors.b.st-hatena.com/image/square/15f0d8e3337fc12c153d11eb56fef4895aadf458/height=288;version=1;width=512/https%3A%2F%2Fwww.ipentec.com%2Fdocument%2Fimage%2Fdocument-category%2Fcsharp)
ChirpUserStreamをOAuthでPythonから - /Users/mizchi/workplace/
みなさんChirpUserStreamしてますか！便利ですよね！ 最新のTwitter API「ChirpUserStreams」をPythonから使う - ctrlshiftの日記を使ってみたのですが、basic認証の有効期限が残り僅かなのが気になります。たしか六月中に廃止されるはず。 ということで、認証部分をoauthと入れ替えてやればいい。 最初はoauth対応Twitterライブラリのtweepyをハックしようとしてたんですが、すごく独特な記述が行われていたので断念。もっと勉強しないと。 で、Twitter API を OAuth で認証するスクリプトを 0 から書いてみた - trial and errorを参考に認証部分をOAuthに。 ちゃんと動きました。よかった。 動かすには事前にoauthの登録が必要です。 Twitter / アプリケーション なんか適当に登録してcon
やる夫と Python で学ぶ Twitter の OAuth - 宇宙行きたい
OAuth 調べてみたら難しくて理解出来なかったので， Python で標準ライブラリだけで 1 から書いてみました． ／ ＼ ／ _ノ ヽ､_ ＼ ／ oﾟ(（●）) (（●）)ﾟo ＼ twitter の OAuth 難しいお… | （__人__）' | ＼ ｀⌒´ ／ ＿＿＿_ ／⌒ ⌒＼ ／（ ●） （●）＼ ／::::::⌒（__人__）⌒::::: ＼ だからやる夫でやるお！ | |r┬-| | ＼ `ー'´ ／ Python のサンプルコードを付けていますが， 上から順に読めるようにおもいっきり手続き型で書いています． コメントで実際の処理の説明を書いています． Consumer Key と Consumer Secret の入手 ／￣￣＼ ／ u ＼ .＿＿＿_ |:
いまさらですけど「OAuthなら安心」という誤解について
Twitter の BASIC 認証が廃止され OAuth が標準の認証方法になりましたね。 BASIC 認証と OAuth ものすごく簡単に言うと、 BASIC 認証というのは毎回 ID とパスワードを使う認証方法なので 外部のサービスを利用するには その運営者に ID とパスワードを預けることになる。 それに対して OAuth というのは Twitter から専用のアクセストークンというものが提供され アプリケーションはそのトークンを使って Twitter にアクセスするので 外部サービス運営者にパスワードを渡す必要がない。 そのサービスの利用をやめたい場合も サービス側に申請する必要はなく、 Twitter のサイト上で「許可を取り消す」というボタンを押すだけ。 これは安心。 安心じゃない 確かに、ID とパスワードを渡すということは 相手がその気になれば何でもできるということ。 ア
OAuth Echo - delegation in identity verification - mehack
Attached is an example workflow diagram for OAuth Echo — what I'm now calling the delegation for identity verification workflow (thanks to @joestump for the name). This diagram is the latest evolution from take 1 and take 2. What's delegation in identity verification? To re-state the problem: You're an OAuth enabled Twitter client, and you've already authorized your user. You user wants to us
pxsta's blog » C#でOAuth認証でTwitterにpost
【追記】2010/5/12 生成後のsignatureをパーセントエンコードしていなかったミスを修正 signature生成に必要なパラメータは大文字、signature自体は小文字でURLエンコードする必要があったようだ。 ————————————————————————- C#でOAuth認証でTL取得とほとんど変わらない。 signatureを生成するとき、signature生成前にstatus(post本文)をURLエンコードしておかないとうまく認証されないみたい。 これでひとまずぼとすたやらシャナbotのOAuthへの移行へめどが立った。 おかしなところ指摘していただけると助かります。 class OAuthTwitter { const string consumer_key = "**********************"; const string consumer_s
Using OAUTH for Delphi
Before attempting to use OAUTH, you must obtain a developer key and secret from the service provider. In the sample code provided in this article, I have removed my developer key and secret. No other code modifications have been made. Step 1 – Request request token (step A in diagram) procedure TForm1.RqsBtnClick(Sender: TObject); var URL: string; endpos: integer; begin Key := ‘http://www.myspac
2009/10/17/DelphiでOAuth - くじらぶろぐD
Delphi で OAuth やるときのメモ： OAuth のライブラリ http://sourceforge.net/projects/oauthdelphi/ 利用手順のサンプル(Using OAUTH for Delphi) http://chuckbeasley.wordpress.com/2009/04/29/using-oauth-f.. Twitter クライアントで OAuth するときのサンプル http://chuckbeasley.com/index.php/2009/05/22/using-oauth-f.. Google OAuth with Indy in Delphi http://stackoverflow.com/questions/1570225/gooogle-oauth-w.. DelphiのOAuthライブラリGETメソッドにしか対応していない（P
Divergent Thinking » Blog Archive » Using OAuth for Delphi with Twitter
The OAuth documentation on http://apiwiki.twitter.com is atrocious. Therefore, I had to figure it out via trial and error. First, you must obtain a key and secret when you register your application (http://twitter.com/oauth_clients/new). For Twitter, you must use the key and secret as assigned, unlike MySpace which requires you to prepend the API web address to the key. In this example, I have
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
TwitterのOAuthの問題まとめ
Loading...
OAuth EchoでTwitpic投稿への道のり | Ken's evitation
[OAuth][twitter][.NET] C++/CLIでOAuth使ってtwitterにポストしたい その2 | 雑記帳