非技術者のためのOAuth認証(?)とOpenIDの違い入門【2023年版】
昔から、「OpenIDは認証でOAuthは認可だ」などということが言われます。しかし、その言語の意味を取り違えている方が結構多い気がしています。「もうOpenIDなんていらね。OAuthだけでいいじゃん」というような言説がよく流れてくるのがその証拠だと思います。OAuth認証というのもその類ですね。 そこで、今日はOAuthとOpenIDの違いを考えてみたいと思います。 Youtube版 OpenIDは紹介状、OAuthは合鍵 まずはOpenIDの概要の復習です。「OpenIDは認証」という言葉の内容をまずは復習してみましょう。 「認証」とは大変広い言葉でいろいろな場面で使われますが、「OpenIDは認証」という使い方の時は、「OpenIDは、いま来ている人の身元を認証」（ユーザ認証）という意味です。図にすると図1のような流れになります。 この例では、有栖さんがお客としてサービス提供をして
bit.ly の OAuth 2.0 とか色々試してみたら色々アレだった : にぽたん研究所
ある日、うちのサービスで bit.ly 使って URL を短縮したいねーなんて話があがって、まぁ、単純に短縮化するなら、@shiba_yu36 さん作の WebService::Bitly なんか使えば簡単に色々出来て便利だなーって思いました。 で、きっと、このモジュールを使っているであろうはてなダイアリーとか見てみたら、bit.ly の設定画面があるんですね。 自分自身の bit.ly アカウントを使えば bit.ly でトラッキングとか出来るし便利だなーと思いました。 …でもね、うちのサービスの利用者の方々は、はてな民のようなリテラシーの高いユーザばかりではないのですよ。 「bit.ly の API キー」とか言っても「は？？？？？」って感じの方が大多数。 意味わからないものを設定画面につけるとなっちゃん宛にクレームがいっぱい来てしまいます。 とりあえず、bitly API Docum
OAuth 2.0でWebサービスの利用方法はどう変わるか（1/3）- ＠IT
OAuth 2.0で Webサービスの利用方法はどう変わるか ソーシャルAPI活用に必須の“OAuth”の基礎知識 株式会社ビーコンIT 木村篤彦 2011/2/2 TwitterがOAuth 1.0を採用したのを皮切りに、今では多くのサービスがOAuth 1.0に対応しています。国内でも、例えば、マイクロブログ型コラボツール「youRoom」、小規模グループ向けグループウェア「サイボウズLive」、「はてな」のいくつかのサービス、「Yahoo!オークション」、リアルタイムドローツール「Cacoo」などがOAuth 1.0に対応したAPIを公開しています。 ここ数年でOAuthはさまざまなWebサービスのリソースを利用する際の認証方式として普及してきました。これは大きなプレーヤーがサポートしたことも一因ですが、OAuthの持つ以下の2つの特徴によって、「OAuthを使うと、サービスプロバイ
ブラウザから文句言われずにHTTPSからHTTPのページに移動させたいって話、まだあるんですね - r-weblife
むかーしから、HTTPSのログイン処理直後にHTTPのページにリダイレクトさせようとするとIE6で何か言われる的な話がありました。 httpsからhttpにresponse.redirectをするときに、セキュリティ警告の表示を非表示にするためにはどうしたらできますか？ https⇒httpリダイレクト時の警告メッセージ - QA@IT IE9とかいってる今日この頃ですが、そう簡単にIE6の呪いから逃げるわけにいきませんので、頑張って対応してる人もたくさんいるでしょう。 上リンク先でも話に出ている、Y!のログイン直後の挙動を注意深く覗いてどーやっているかをまとめておきます。 HTTPSからHTTPSへのリダイレクト 例：Y!のトップページ(http://www.yahoo.co.jp/)のどこかにある「ログイン履歴を確認」リンクをたどり、ログイン直後にHTTPSのページにいく。 HTTP/
OAuthの仕様について 〜署名？それっておいしいの？〜
ヤフー株式会社は、2023年10月1日にLINEヤフー株式会社になりました。LINEヤフー株式会社の新しいブログはこちらです。LINEヤフー Tech Blog こんにちは、IDプラットフォーム技術の近藤裕介です。 OAuthを使ったアプリを実装している方の多くは特にパラメータの署名まわりの部分で少し詰まることが多いように見受けられます。署名はOAuthのキモとなる仕組みなので今回はこれに関する記事を書いてみようと思います。 署名の仕組み OAuth（以後OAuth Core）の仕様では、一般的な署名の仕組みを使ってリクエストの内容の改ざんや送信者のなりすましをされにくくしています。いまのところ以下の３つの署名方式に対応しています。 HMAC-SHA1 Service Provider(以後SP)側でConsumerkeyとSecret(秘密鍵)のペアをConsumerに発行し、APIリク
サイボウズ Live APIがOAuth 1.0に対応したようです - OAuth.jp
今朝Twitterで @nakajiman さんに教えて頂いたのですが、サイボウズ Live APIがOAuth 1.0を採用したようです。 サイボウズ Live APIのドキュメントはこちらです。 https://developer.cybozulive.com/doc/current/pub/authorize.html ドキュメントの中に出てくる用語がRFC版のものとコミュニティ版のものとまじっていて混乱するかもしれませんが、ruby-oauth使うとこんな感じになります。 リクエストトークン (テンポラリクレデンシャル) 取得 & ユーザ (リソースオーナー) をサイボウズLiveへリダイレクト 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 require "rubygems"require
Objective-CでTwitter APIを使う 色々 - すぎゃーんメモ
Twitter APIの認証 Twitter APIの使用は、現在"BASIC認証"と"OAuth"の2通りの方法が用意されている。が、今年6月(？)でBASIC認証が使えなくなるという噂で、今後はAPIを使用するのにはOAuthを使用する必要が出てくるようだ。 まぁBasic認証はパスワードだだ漏れになっちゃうからやめておこうよ、という話ですかね。 Basic認証 - Wikipedia Code — OAuth iPhoneアプリでTwitter APIを使いたい場合 結構iPhoneのTwitterクライアントアプリってたくさんあるけど、どういう実装なのだろう？ 大抵は初回起動時に設定画面でユーザー名とパスワードを入力させて、それを使ってBASIC認証でアクセスしているのではないのかな？ BASIC認証を使うAPIアクセスの実装は比較的簡単。(base64エンコーディングを実装せずに
TweetMakerについてまとめ
TweetMakerについてRTで流れていたので 簡単にまとめてみました。 なる４時などを含め、解除したいときは twitter→設定→連携アプリから個別に解除できます。 続きを読む
OAuth for Greasemonkeyのラッパーライブラリ
**Post Now browsing to TwitterをOAuth認証に対応しました | Web scratch**でGreasemonkeyスクリプトの「Post Now browsing to Twitter」をOAuth認証に対応したものを作りました。 OAuthのJavaScript実装はいくつかあるみたいですがGreasemonkeyで使う感じになってるものは無かったみたいなので、OAuth.jsを使ったtwitterでのOAuth認証を手助けするラッパーみたいなものを書きました。 xAuthを使えば楽な気もしますがブラウザベースのものはxAuthを使わずにOAuthを使ってねとの事です 大部分は TwitterクライアントのOAuth対応(JavaScript編) | tomatomax.net Twitter API を OAuth で認証するスクリプトを 0 から書い
Twitter の OAuth 許可ページがあまりにも酷い => 応急処置 - mooz deceives you
OAuth の Read と Write 先日, ツイート君に会話をまとめてもらい, 大変嫌な思いをした. Twitter の OAuth には Read 権限と Write 権限があって, Write 権限があると つぶやく 誰かをフォローする 誰かをリムーブする などのことが行えてしまう. つまり, Write 権限を要求するアプリケーションを許可することは, 「このアプリケーションが私のアカウントを使って勝手に変なことをつぶやいたり, 勝手に誰かをフォローしたり, 勝手に誰かをリムーブしても文句は言いませんよ」ということに等しい. さて, それでは OAuth の権限付与画面を見てみよう. ここでは冒頭に上げたツイート君が権限をこちらに要求してきている. では, いったい何の権限を要求してきているのだろうか. Read なのだろうか. それとも Write なのだろうか. 答えは R
javaで署名付きリクエストを検証するプログラム - ドキッ！はてなブログに移転しました！
mixiアプリで外部サーバへのアクセスをするときに便利なのが署名付きリクエストです mixi側のリクエストパラメータに公開鍵暗号を付加し、こちら側でその内容が正しいかどうかを判断することによってmixiアプリからのリクエストであることを保障しています 説明はどうでもいいのでとりあえずソースを ちなみにこれはOAuthライブラリを利用するのでこちらからダウンロードしてきてください OAuthのライブラリがおいてあるページに行くとバージョンが明記されてないんですがmixiにおいてあるソースとだいぶ違ったので中身が少しずつ変わっているのでしょうかね･･･？ mixiのデベロッパーセンターにあるやつをコピペしても動かなかったのでソースを修正しました OAuthValidation.java package net.natsume.lib; import net.oauth.OAuth; impor
Tender Surrender » OpenSocial Signed Requestライブラリ(PHP)をベータ公開
OpenSocialのSigned Requestは、ガジェットからの外部通信リクエストに署名を付けることで、パラメータの内容が改ざんされていないかを検証可能にする仕組みです。一般に2-legged OAuthやSigned Request、OAuth Consumer Requestという名前はすべて同じ、これを表しています。 実装自体は全く難しくないものなのですが、お手軽なライブラリがあまり出回っていないようなので、作ってみました。まずはベータとして公開します。 特徴 Google CodeにあるOAuthのライブラリを利用しています。公開鍵はorkut、Google、Friendster、hi5、hyves、Netlog、そしてgooホームとmixiのものを同梱しています。 使い方 Google Codeからチェックアウトしてください。 svn checkout http://ope
tzmtk / OAuthCore10aJP
OAuth Core 1.0 Revision A 日本語訳 はじめに OAuthはウェブサイトやクライアントアプリケーションなどのConsumerに対して、ユーザー自身のID・パスワードを渡すことなく、サService Providerの持つユーザー単位で保護されたリソースへアクセスする権限のみを譲渡することができます。OAuthは認証が必要なリソースへのAPI経由でアクセスする際の、自由度、利便性を提供します。 例として、１つの写真プリントサービス「printer.example.com」（Consumer）があり、あるユーザーが写真ストレージサービス「photos.example.net」（Service Provider）に保存している自分のプライベートな写真データ（リソース）をこの「printer.example.com」に渡したいとします。OAuthを使えば、ユーザーは「pri
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Google Code Archive - Long-term storage for Google Code Project Hosting.