6
票
Accepted
APIキー(トークン)を含むプログラムのソースコード公開について
こうしたAPIキーを他者に参照された場合、どのようなリスクがありますか?
APIキーを手に入れた他者が、あなたに成りすましてAPIを呼び出すことができてしまいます。
その結果考えられる問題としては
あなたのアプリしかアクセスできないはずの情報にアクセスされる
他者がそのAPIキーで悪事を働いた場合、あなたのアプリが悪さをしたと思われる
...
5
票
Accepted
OAuthはどのようにしてソーシャルログインとして使用されるようになったのでしょうか?
はっきりと答えることが難しい質問ですね。歴史的経緯として僕が思っていることを答えてみたいと思います。
まず、ユーザ認証のためのプロトコル(OpenIDとか)と、認可のためのプロトコル(OAuthとか)は、明確に分けて説明されることが普通です。これらに詳しい人であればあるほど、区別して説明したがりますので。OAuthを「認証のため」とか言うと過剰反応する人もいるでしょう。ただし、...
4
票
Accepted
Open ID ConnectにおいてIDトークンが盗まれる可能性について
懸念されているフローは、
1. ユーザーは意図せずメールや様々な手段でサイトBに誘導された
2. サイトBは"サイトAになりすまし"、OPの認可画面を要求するリクエストを送る
3. ユーザーは"サイトAに対して"自分の情報に対するアクセスを許可
4. ユーザーはサイトBに戻され、ID Tokenを取得される
というような認識であっていますでしょうか?
基本的に、...
4
票
OAuth認証について
Caused by: android.content.ActivityNotFoundException: No Activity found to handle Intent { act=android.intent.action.VIEW dat= }
指定されたIntentに対応するActivityが見つからない、というエラーですが、datの値が空になっているように見えます。...
3
票
Accepted
はてなブックマークREST APIを使ってブックマーク情報を取得したい
結論から述べると、自分のブックマーク一覧を取得するには、OAuthのAPIではなく以下のAPIを使うとよいようです。これはRSSによるAPIなので、特別な認証なしにURLにアクセスするだけで利用できます。
はてなブックマークフィード
ただし、これはユーザー名が分かっていないと使用できませんので、先にユーザー情報APIで自分のユーザー情報を取得します。こちらはOAuth認証が必要です。
...
3
票
Accepted
WEBのLINEログインで"redirect_uri does not match"
トークンエンドポイント(https://api.line.me/oauth2/v2.1/token)に送信しているリクエストのredirect_uriが正しくない(不要なcodeとstateパラメーターを付加している)ことが原因です。
エラーは、
"redirect_uri does not match"
なので、トークンリクエストのクエリーストリングで指定したredirect_uri(...
3
票
Accepted
OAuthをローカルでテストする方法
API連携開発方法の質問かと思いますのでそのように回答します。
一般的に開発環境やローカル環境などの環境でOAuthなどのAPIのテストする場合は、
開発用専用のサンドボックスやアカウントを作成しておくことが一般的です。
それらを環境ごとに分けて運用します。
分ける方法はいくつかありますが、環境ごとに違うデータで管理します。
一般的に言うと
・環境変数
・設定ファイル
・DB
などでしょう。
また
...
3
票
ログイン済みユーザーをTwitter連携させる際にコールバック後、サーバー側で既存ユーザーを探す方法を知りたい
すでにDBに登録されている、との事なので、
自サーバーにログインさせ、ユーザーを識別できるセッション情報をユーザーのブラウザに保存する(ログイン処理が有るなら既に実装済みのはず)
Twitter 連携で Twitter のサーバーへ
Twitter で認証後、コールバックで自サーバーに戻させ、最初に保存したセッション情報を参照する
でよいと思います。
2
票
Accepted
OAuth1.0のRequest Tokenの必要性について
OAuth1.0(a)が考え出された当時は、適用されるシステムが「Client Credentialを安全に隠せるWeb Serverがあって、そのWeb Serverが最終的に保護リソース(=API)を利用する」というユースケースのみがサポート対象でした。つまり、APIを叩くために必要となる【AccessTokenはWeb Serverのみが入手して利用する】、ということですね。...
2
票
Evernote API の consumerKey, consumerSecret を流出しないようにする工夫
JavaScript SDKを使って、Webブラウザから「何らかのServerに頼らず」直接APIを叩きたい、という話であれば、APIのClientとなるアプリがどれだけコードが見られてしまう可能性が高いか、という観点になると思います。Client IDとClient Secretがばれてしまえばクライアント詐称もできるよね、という指摘は正しいです。EvernoteのQuick ...
2
票
GAE/P oauth Invalid token signature が 数%のスマホで発生
ソースが無いので、憶測ではありますが、ぱっと思いつくのは
ユーザがアプリの認可を取り消した
tokenの有効期限が切れた
とかでしょうか。
Quotaはあまり見てなかったですが、僕も7/1より後は表示されてないですね。
Googleのサポートを受ける方法ですが、 https://cloud.google.com/support/ にあります。
無料だと、 https://...
2
票
Accepted
TwitterのREST APIで、あるユーザが自分をフォローしているかどうかを調べる方法は?
実際に利用したことがないのですが、friendship/lookupで、あるユーザ(100人までまとめて指定可能)と自分の関係を参照できるようです。
https://dev.twitter.com/rest/reference/get/friendships/lookup
ユーザごとに、connectionsに以下の値の配列が入っているので、
following
...
2
票
MonacaでGoogle Oauth 2.0認証を行う方法
Communityによって上がってきたので現状の回答を……
GooglePlusを用いたAPIサービスは、2019年3月7日を以って終了いたしました。
https://developers.google.com/+/api-shutdown?hl=ja
ですので、現在の回答としては実装は出来ないということになります。
2
票
Accepted
stackexchangeのAPI接続でApplication Login Failureになる
Web Extensionでしたらドキュメントのデスクトップで使う場合の手順でいけると思います。implicit flow(https://stackexchange.com/oauth/dialog)でredirect_urlをhttps://stackexchange.com/oauth/login_successにすれば、リダイレクト後アドレスのハッシュにアクセストークンが入るはずです。
...
2
票
python メソッド内で例外処理を行う方法
なんでエラーになるかだけを回答します。
TypeError: request_authorization() missing 4 required positional arguments: 'CK', 'CS', 'AT', and 'AS'
これは request_authorization関数に 引数 CK, CS, AT, ASが足りないという意味です。
def ...
2
票
Accepted
Twitter の OAuth のバージョンについて
OAuth1.0については知らないので前者についてだけですが:
Twitter が OAuth2 に対応したのはいつからですか?
2013年3月11日からのようです。
https://stackoverflow.com/a/19040860/4506703
参照されているblogエントリの現在のリンク
2
票
組織内で「Webアプリケーションとして導入」をした際の認証について
自己解決しました。
GCPの認証情報から「APIキー」や「OAuth 2.0 クライアントID」などをいろいろ試しましたが、
シンプルに解決・・・(投稿前にやってたつもりだったけど)
headersにScriptApp.getOAuthToken()を使用すれば通りました。
var payload = {
// 省略
};
var param = {
...
2
票
Accepted
OAuth 1.0のsignatureの生成の仕方がわからない
間違っているのは joinedValue を作るときリクエストパラメータが足りない・正規化していないことと、 HMAC-SHA1 に署名キーを渡していないところです。
OAuth 1.0 の署名は以下の手順で作成します。
署名ベース文字列を作成する
正規化済みパラメータ文字列を作成する
すべての HTTP リクエストパラメータと oauth_* パラメータを収集する
...
1
票
Accepted
SwifterでユーザをAuthorizeできない
Swiftの文法は全く知りませんが、GitHubの多くの人の実装を見ると、
withCallback: URL(string:"app-アプリ名://")!,
ではなく、次のようにしていますね。
withCallback: URL(string: "アプリ名://success")!,
1
票
Google Analytics API のチュートリアルが動かない
That’s an error.
Error: invalid_request
Permission denied to generate login hint for target domain.
については、
おそらく
https://stackoverflow.com/questions/36020374/google-permission-denied-to-...
1
票
Facebookアプリのテスト環境→本番環境移行について
Facebookのクライアントの設定の「有効なOAuthリダイレクトURI」とクライアントが送信するリクエストの「redirect_uri」パラメーターが一致していないのではないですか?
例えば、クライアントが「テスト環境」で使用していたときと同じ「redirect_uri」パラメーターをそのまま送っているとか。
1
票
Accepted
QiitaAPIのOAuthについて
省略可能なのかも知れませんが、parameters: parameters, encoding: JSONEncoding.defaultの様に、encoding指定が必要では無いでしょうか?
また、JSON形式のテキストをPOSTするので、httpHeaderは、
let headers = [
"Content-type": "application/json",
...
1
票
Accepted
apiのRedirect URLや Call back URLについて
具体的にどのようなAPIなのかは調べていないですが、ユーザ認証やAPI利用に関する認可に関する手続きで出てくるRedirect URL(URI)やCallback URL(URI)についての質問だと思いますので、その前提で答えます。
2つは同じ意味でしょうか?
同じ意味です。
これらはなぜ必要なのでしょうか?
どちらも「...
1
票
GitHub API で Organization の private member を取得できない
GitHub の設定 > アプリケーション で当該アプリを選択し、その Organization にチェックが入っているかを確認してみてください。アプリ側と org の間にも権限が必要かもしれません。
この投稿は @hinaloe さんのコメント および @頑張ります さんのコメント 内容を元に コミュニティwiki として投稿しました。
コミュニティ wiki
1
票
Accepted
Twitter OAuthにおけるoauth_token_secret (refresh token?)の存在について
OAuth2 では(httpsを前提にしているので)access_tokenをリクエストに付与するだけでいいのですが、OAuth 1.xではシグネチャを生成してやる必要があります。(非暗号化通信で漏れても正当性が検証できるため)
一方で、 OAuth 1.x にはトークンの更新という概念は存在しない (かったはず)なので、Refresh tokenに該当するものは存在しません。
...
1
票
Accepted
1
票
TwistOAuthでTwitterから送られてくるプライベートヘッダ(RateLimit等)を取得したい
curl_exec()も実行する必要はありますが、あとはご想像の通り TwistOAuth::get() を改造するか、あるいは・・・というところかと思います。
GithubやTwitterで作者の方に相談してみるといいかもしれません。
1
票
FuelPHPでopauth/twitterを実行するとTwitterの認証画面に遷移しない
同様の問題でどっぷりハマり解決したので共有します。
fuel/vendor/opauth/twitter/Vendor/tmhOAuth/tmhOAuth.php
の最終行付近で
\Log::debug(__METHOD__.' '.__LINE__.' $this->response = '.print_r($this->response, TRUE));
...
1
票
Accepted
OAuthSwift ではてなの OAuth を使うときに二重URLエンコードされないようにする正しい方法は?
OAuth1 exchange fails due token secret being URL encoded. · Issue #140 · OAuthSwift/OAuthSwift
おそらく上のIssueでの修正漏れですね。ここでの修正に従うなら self.client.credential の中身はURLエンコードされていない文字列になるべきですが、...
Only top scored, non community-wiki answers of a minimum length are eligible
関連するタグ
oauth × 76api × 13
twitter × 12
python × 10
android × 10
php × 7
google-api × 7
javascript × 5
ruby-on-rails × 4
monaca × 4
node.js × 4
facebook × 4
webapi × 4
swift × 3
ios × 3
python3 × 3
c# × 3
html5 × 3
rest × 3
java × 2
aws × 2
google-apps-script × 2
google-app-engine × 2
gmail × 2
devise × 2