UserAgentでOAuth2のTokenを取得するベスト・プラクティスのバックアップ(No.2) - マイクロソフト系技術情報 Wiki

[ トップ ] [ 新規 | 一覧 | 単語検索 | 最終更新 | ヘルプ ]

「マイクロソフト系技術情報 Wiki」は、「Open棟梁Project」,「OSSコンソーシアム .NET開発基盤部会」によって運営されています。

戻る

目次 †

目次
概要
詳細
参考
- 仕様
  - スマホ向けベストプラクティス (RFC 8252 ... OAuth 2.0 for Native Apps)
  - 認可コード横取り攻撃への対抗策 (RFC 7636 ... OAuth PKCE)

概要 †

UserAgent?でOAuth2のTokenを取得するベスト・プラクティス
（UserAgent?から、直接、Resource ServerのWebAPIにアクセスする）

詳細 †

SPA †

Implicitが使用できる。 †

スマホ †

Implicitは使用できない。 †

以下のどちらかを使用する。 †

使用可能なフロー
- OAuth PKCE
- Hybrid Flow

ポイント
- 入手したcodeはClientのServer側にポストして使用
- Hybrid Flowでは、
  - codeとtokenのscope（認可された権限）を変える。
  - FAPIでは、token：参照系、code：更新系などとなっている。

Financial API (FAPI)も策定中。 †

Financial API (FAPI) †

金融向け規格なので、前述よりさらにセキュリティ・レベルが強化される。
現時点では、まだドラフト段階だが、スマホ、SPA、共に、この規格の導入を検討してイイ。

参考 †

OAuth for Native Apps | GREE Engineers' Blog
http://labs.gree.jp/blog/2015/12/14831/

知っておきたい7つのID連携実装パターン - Yahoo! JAPAN Tech Blog
https://techblog.yahoo.co.jp/web/auth/id_federation_impl_patterns/
1. スタンダードなブラウザーパターン
2. 推奨したいネイティブアプリとブラウザーパターン
3. 画面遷移がシンプルなネイティブアプリとWebView?パターン
4. フィッシング防止なWebView?アプリとブラウザーパターン
5. WebView?アプリ完結パターン
6. 実装が大変だけどより汎用的なハイブリッドアプリとブラウザーパターン
7. 汎用的なハイブリッドアプリとWebView?パターン

OAuth2/OIDCの認証にWebView?はダメっぽい。

OAuthなプラットフォームの中の人が椅子を投げたくなるアプリの実装 - r-weblife
http://d.hatena.ne.jp/ritou/20120619/1340101421
Google、WebView?からのOAuth認証リクエストをブロックへ | スラドセキュリティ
https://security.srad.jp/story/16/08/30/0636245/
- WebView?でGoogleアカウントのOAuth認証が使えなくなる問題
  https://techracho.bpsinc.jp/hachi8833/2016_09_01/25471
- AndroidからGoogle Service OAuth2.0の利用で詰んでいる
  http://awwa500.blogspot.jp/2012/12/androidgoogle-service-oauth20.html

代替の提案としては、以下のモノがある。
- Chrome Custom Tabs（Android向け）
  https://developer.chrome.com/multidevice/android/customtabs
- SFSafariViewController?（iOS向け）
  https://developer.apple.com/library/ios/documentation/SafariServices/Reference/SFSafariViewController_Ref/

仕様 †

スマホ向けベストプラクティス (RFC 8252 ... OAuth 2.0 for Native Apps) †

認可コード横取り攻撃への対抗策 (RFC 7636 ... OAuth PKCE) †

Tags: :認証基盤, :クレームベース認証, :OAuth