1

OAuth 2.0のRFCを和訳をちらっと読んだら、abstractでは以下のように記載がありました。

OAuth 2.0 は, サードパーティーアプリケーションによるHTTPサービスへの限定的なアクセスを可能にする認可フレームワークである. サードパーティーアプリケーションによるアクセス権の取得には, リソースオーナーとHTTPサービスの間で同意のためのインタラクションを伴う場合もあるが, サードパーティーアプリケーション自身が自らの権限においてアクセスを許可する場合もある.

質問

「リソースオーナーとHTTPサービスの間で同意のためのインタラクションを伴う場合」はしっくりくるのですが、「サードパーティーアプリケーション自身が自らの権限においてアクセスを許可する場合」というのはどういうことなのか解説してもらいたいです。

前者はたとえば、WebサービスでユーザーがGoogleログインボタンをタップしたら、Googleの認証画面が出て、認可し、アクセストークンを取得できるという話だと理解しています。
後者はユーザーが何もしなくてもアクセストークンを取得できるということですか?

ちなみに和訳でなくて原文も読みましたが、特に良い情報は得られませんでした。

参考

RFC6749の和訳
http://openid-foundation-japan.github.io/rfc6749.ja.html

1 件の回答 1

0

4.4節で説明されているクライアントクレデンシャルグラント方式は、リソースオーナーの認可操作を伴わない方式です。

質問箇所は、この方式を暗に指している記述かと考えます。


ちなみに、「1.3.認可グラント」節でOAuth2.0が定める4つの方式について一覧できますが、Googleなどが提供している、いわゆるソーシャルログインは1.3.1.認可コード方式によって実現されています(ので、想像されているものとは別のものです/利用するシチュエーションが異なります)。

この質問に回答するには、ログインする必要があります。

求めていた回答ではありませんか? のタグが付いた他の質問を参照する。