SPAなClientがトークンを安全に扱えるかもしれない拡張仕様「OAuth2.0 DPoP」とは - r-weblife
おはようございます、ritou です。 今日は日頃の情報収集方法の一つである Mike Jones氏のブログ記事に書いてあったドラフト仕様のご紹介です。 self-issued.info The specification is still an early draft and undergoing active development, but I believe the approach shows a lot of promise and is likely to be adopted by the OAuth working group soon. まだDraft中のDraftな状態ですが、まいくたんの推し感が出ているのでざっと見ておきましょう。 OAuth2.0 DPoPとは？ tools.ietf.org This document describes a mechanism
python-oauth2を使ってTwitterに投稿する
Pythonを使ってTwitterに投稿してみた。 Oauth認証はpython-oauth2に任せます。 API v1.1対応。 python-oauth2の導入 pipでインストールします。 Windowsでも問題なく入りました。 > pip install oauth2 ソースコード コンシューマーキー, アクセスキーは開発者ページから取得できるので ログインしてMy Applicationを作っておくこと。 アクセストークンにWrite権限がないと投稿できないので設定の確認をするべし。 #encoding=utf-8 import oauth2 as oauth from urllib import urlencode # 自分の環境に合わせてね！ consumer_key='' consumer_secret='' access_token_key='' access_t
【facebook】ページの投稿をするアクセストークンを取得する at softelメモ
facebookページに投稿をするボットなどを稼動させていると、そのうち以下のようなエラーとなります。 { "error": { "message": "Error validating access token: Session has expired at unix time 1351138534. The current unix time is 1352848421.", "type": "OAuthException", "code": 190, "error_subcode": 463 } } facebookの仕様変更で、無期限の offline_access が廃止されて、長くて有効期限60日のアクセストークンしかもらえなくなりました。改めてアクセストークンの取得が必要となります。 以下、手作業で有効期限60日のアクセストークンをもらう手順のメモです。 １、通常の有効期限の
tmhOAuthでエラー（レスポンスコード0、エラー番号60） at softelメモ
問題 tmhOAuthというtwitterのOAuth libraryを使って、phpスクリプトからtwitterに投稿しようとしたのですが、 レスポンスのコードは0、以下のエラーが返ってきました。 error setting certificate verify locations: CAfile: /xxxx/yyyyy/zzzzz/cacert.pem CApath: /xxxx/yyyyy/zzzzz 答え オプションに 'curl_ssl_verifypeer' => false を追加すると、証明書のチェックを省くので、問題のエラーは出なくなる。 $connection = new tmhOAuth(array( 'consumer_key' => 'xxxxxxxxxx', 'consumer_secret' => 'xxxxxxxxxx', 'user_token' =>
FuelPHPがOpAuth対応になったのでfacebookログインをしてみる « DASALOG -ださろぐ
2016/04/09 追記 こちらは2013年の記事ですが、現在動作しなくなっている点についてコメント欄で情報を頂いたので掲載 group_idをgroupに変更したら動きました とのことです（Tsujiさんありがとうございました）。 ———追記ここまで FuelPHP Advent Calendar2013参加記事です。 21日目は@madmamorさんのFuelPHPをRocketeerで自動デプロイしてみる。マイグレーションとPHPUnitも実行してみる。でした。 昨年のアドベントカレンダーでは主にPhil Sturgeon氏がメンテされていたNinjAuthというOAuth認証パッケージを使用して簡単にログイン認証が行えるパッケージを作成したのですが、FuelPHP1.6.1からNinjAuthに代わりOpAuthに対応したパッケージが標準で入るようになったので、今年はそちらでログ
FuelPHPでopauthを使って色んなログインに対応してみた - スケルトン・エピ
FuelPHPでopauthを使って色んなログインに対応してみました。 ログインのパターンは 1.通常のusernameとpasswordのログイン 2.Twitterのoauthログイン 3.Facebookのoauthログイン です。 TwitterとFacebookのログインについてはfuel-opauthを使っていますが、こちらの参考ブログ記事にも記載されている通りnamespaceの設定に不具合があるためgithubでforkしたものをsubmodule化しています。 本家 https://github.com/andreoav/fuel-opauth本家 修正版 https://github.com/letsspeak/fuel-opauth 今回作成したり変更したファイルは一通りgistにもアップロードしています。 不具合はいつも通り触りながら修正していこうかと思っていますが
PHPoAuthLib
Easily connect to your favorite online services Free open source Oauth library Documentation and information Find all the API information you need Demo A demo website used to test and debug the library with the different services. This can also be used to find documentation about service API calls. Documentation Yes! We should totally have documentation at some point! Supported services Click here
Facebookアクセストークンを取得してそれを60日間使えるようにする | tagamidaiki.com
FacebookのOffline_accessが廃止されてから、アクセストークンは最大2ヶ月までしか使えないようになりました。 色々調べた結果、アクセストークンのアクセス期間を最大で2ヶ月までのばす方法を見つけました。 そこでアクセストークンのまとめとして、PHPで今までのアクセストークンを自動で60日間に延長させるコードを書いてみます。 ただこのスクリプトは自分で発行したアクセストークンを使用しているため、他の人のアクセストークンの場合うまくいかない可能性があります。 ご参考程度にお願いします。 それでははじめましょう アクセストークンの取得 Facebookのアクセストークンには、ユーザーに紐付けられたアクセストークンと、Facebookのアプリに紐付けられたアクセストークンがあります。 Facebookのアプリを1つでも作ったことがある人であれば以下のURLからアプリのアクセストーク
OAuth 2.0 の code は漏れても大丈夫ってホント!? - OAuth.jp
昨日のCovert Redirect で Query 漏れるケースもある!?やOAuth 2.0 の脆弱性 (!?) “Covert Redirect” とはにあるように、OAuth 2.0 の code が漏れちゃうことも、ありえます。 漏れないためにやるべきことは、上記の記事やFacebook Login で Covert Redirect を防止するなんかでも紹介してるので、そちら読んでください。 で、今回の内容は「code が漏れたら何がまずいのか」についてです。 「code は漏れても大丈夫」説 「Covert Redirect」についての John Bradley 氏の解説（追記あり）にも、こうありましたね。 OAuth と OpenID Connect には複数の response_type があるんだけど、さきのリポートの著者は、最も一般的な response_type が
Implicit Flow では Covert Redirect で Token 漏れるね - OAuth.jp
この記事は、先ほど書いたこちらの記事の訂正版です。 記事に入る前に、まずは全シンガポールにお詫び申し上げますm m さて、Covert Redirect についての説明は…超絶取り消し線はいりまくってる前の記事を読んでください、でいいでしょうか？ で、訂正分だけ以下に。 Fragment Handling in Redirect 宮川さんが記事にしてますね。 英語だけど。 で、まぁ要するに、(Modern Browser は) 30x リダイレクト時にリダイレクト元に付いてた URL fragment をリダイレクト先にも引っ付ける、と。 fragment は server-side には送られないけど、クライアントサイドではリダイレクト先に引き継がれる、と。 試しに http://www.idcon.org/#foobar にアクセスすると、http://idcon.org/#fooba
事務局ブログ：「Covert Redirect」についての John Bradley 氏の解説（追記あり）
追記 (5/7 20:30): 本文中に「まともなブラウザーであれば、そのフラグメントを URI の一部にするようなことはないから、オープン・リダイレクターには送られない。」とありますが、少なくとも Chrome と Firefox はリダイレクト時に URI フラグメントをそのまま保つ (i.e. 不十分な redirect_uri チェック & オープン・リダイレクター & インプリシット・フローの場合、アクセス・トークン入りの URI フラグメントを、ブラウザーがそのままリダイレクト先へのリクエストに用いる) とのことです。続報があり次第追記します。 追記2 (5/7 23:50): John Bradley 氏自身によるフォローアップを訳しました。 Covert Redirect and its real impact on OAuth and OpenID Connect を、と
Covert Redirect Vulnerability with OAuth 2
tl;dr Covert Redirect Vulnerability is a real, if not new, threat when combined with Implicit Grant Flow (not Code flow) This Covert Redirect Vulnerability in OAuth 2 is an interesting one. There’s a couple of defending arguments that this isn’t a flaw in OAuth itself. While I agree that it isn’t a flaw in the protocol, I think the threat is a real one, combined with a) a loose validation on redir
HWIOAuthBundleを使ってSymfony2でOAuth認証を実装する - think it over
しばらくCodeceptionネタが続く予定だったのですが、Symfony2 + OAuth認証で結構はまったのでシェアしておきます。 FacebookやTwitterやGoogleなど、ソーシャルアカウントでログインする機能を作成したい場合、各ベンダーが提供しているAPIを利用することもできますが、HWIOAuthBundleは複数のリソースオーナーに対応しているので、こちらを利用することにしました。 基本的には本家のドキュメントを見ながら進めていきましたが、一筋縄ではいかない点などがあり、結構はまりました。 本家のドキュメント以外ではAdding HWIOAuthBundle to your Symfony2 project | /* diegocaprioli.com */が参考になると思います。 このエントリではGoogleを利用した単純なOAuth認証を組み込むまでの手順を追って
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
GitHub - joestump/python-oauth2: A fully tested, abstract interface to creating OAuth clients and servers.
http://unirry.com/facebook_oauth_ap-98.html
HybridAuth, open source social sign on php library
TechCrunch | Startup and Technology News
Welcome diegocaprioli.com - BlueHost.com
OAuth 2.0 Playground
てもぐ