Heroku の Review Apps を使うと Pull Request ごとに新しい環境が作成されてレビューも捗るしとても便利なんだけど、 Review Apps はそれぞれ固有のドメイン名を割り当てられるため、特に OAuth 周りで問題になる。 OAuth では事前に登録したコールバック URL にリダイレクトされるので、そこら辺をちょろまかそうとしても、まともな OAuth ライブラリではセキュリティ機構が働いで認証できない。 この問題の一つの解決策として Review Apps ごとに OAuth アプリケーションを登録することが考えられるが、 OAuth プロバイダーごとにセットアップするのは大変だし、 Heroku のデプロイプロセスで OAuth プロバイダーの認証を通すのも単純に面倒だと思う。と言うか無理。 この記事ではこれまでに著者が試した 2 つの解決策を紹介する
RFC 6749 (The OAuth 2.0 Authorization Framework) で定義されている 4 つの認可フロー、および、リフレッシュトークンを用いてアクセストークンの再発行を受けるフローの図解及び動画です。動画は YouTube へのリンクとなっています。 English version: Diagrams And Movies Of All The OAuth 2.0 Flows 追記 (2019-07-02) 認可決定エンドポイントからクライアントに認可コードやアクセストークンを渡す方法については、別記事『OAuth 2.0 の認可レスポンスとリダイレクトに関する説明』で解説していますので、ご参照ください。 追記（2020-03-20） この記事の内容を含む、筆者本人による『OAuth & OIDC 入門編』解説動画を公開しました！ 1. 認可コードフロー RF
ソーシャルログイン導入実績No.1サービス『ソーシャルPLUS』を、株式会社サンリオ公式サイトに提供開始～ソーシャルログイン機能を導入し、会員登録率とログイン率の向上を図る～ 株式会社フィードフォース（所在地：東京都文京区、代表取締役：塚田 耕司、以下「フィードフォース」）は、株式会社サンリオ（本社：東京都品川区、社長：辻 信太郎、以下「サンリオ」）の公式サイト（ http://www.sanrio.co.jp/ ）に、ソーシャルログイン導入実績No.1サービス『ソーシャルPLUS』のソーシャルログイン機能を提供開始いたしました。 ©1976,2016 SANRIO.,LTD TOKYO JAPAN ■サンリオ公式サイト http://www.sanrio.co.jp/ ◆サンリオ公式サイトで、FacebookやLINEなど5つのアカウントに対応したソーシャルログインが利用可能に！ ソーシ
.app 1 .dev 1 #11WeeksOfAndroid 13 #11WeeksOfAndroid Android TV 1 #Android11 3 #DevFest16 1 #DevFest17 1 #DevFest18 1 #DevFest19 1 #DevFest20 1 #DevFest21 1 #DevFest22 1 #DevFest23 1 #hack4jp 3 11 weeks of Android 2 A MESSAGE FROM OUR CEO 1 A/B Testing 1 A4A 4 Accelerator 6 Accessibility 1 accuracy 1 Actions on Google 16 Activation Atlas 1 address validation API 1 Addy Osmani 1 ADK 2 AdMob 32 Ads
Modernizing OAuth interactions in Native Apps for Better Usability and Security Share Facebook Twitter LinkedIn Mail Posted by William Denniss, Product Manager, Identity and Authentication The Identity team is constantly striving to help Google users sign-in to third-party applications with their Google account in a secure and seamless way, and enable users to share select information from their a
はじめに アプリによってビジネスモデルは異なりますが、大多数のアプリがゴール（KGI）にしているのは売上増かと思います。 では、あなたは売上増に向けた指標の把握と整理ができているでしょうか？ この記事ではKPIツリーを使ってアプリの売上に貢献する指標を洗い出し、各指標について説明したいと思います。 1.KPIツリーの重要性 ◆そもそもKPIツリーとは？ KPIツリーとは、例えばアプリのKGIを売上とした場合、売上を構成する要素を分解して施策が実行可能になるレベルまで落とし込まれた指標（KPI）の一覧です。 ◆KPIツリーを作らない場合の問題点 ①ボトルネックとなっている問題がわからない 売上を構成する要素を洗い出さないと、売上増の妨げになっている問題に気づかないことがあります。 ②具体的な施策を考えるのが難しい 売上やアクティブユーザー数など上位の指標を分解しないままでは、「じゃあその指標
お金のプラットフォームを提供する株式会社マネーフォワード（本社：東京都港区、代表取締役社長CEO ：辻庸介、以下「当社」）は、個人向け自動家計簿・資産管理サービス「マネーフォワード」における新たな取組として、「マネーフォワード Apps」Android版を公開したことをお知らせいたします。 ■本サービスの概要 「マネーフォワード Apps」は、当社やパートナー企業の皆様が開発した貯金、節約、投資などお金に関するアプリを掲載予定で、利用者の皆様は「マネーフォワード」を活用するのみならず、「マネーフォワード Apps」に掲載されたアプリのシームレスなご利用※1が可能になります。これらアプリを「マネーフォワード」と併せてご利用いただくことで、より一層お金の課題の解決に貢献いたします。尚、本サービスはAndroid版を先行してリリースし、iOS版に関しては、4月のリリースを予定しております。 当社
最近の僕の趣味は、stack overflowに来た質問に回答を付ける、ということです。特に本家英語版の方では、英語の読み取りと作文の練習をかねてやってます。もちろん、日本語版の方でも、回答できそうな質問が来たら、積極的に回答するようにしています。たまに間違えた回答付けてしまって-1をもらうこともありますが、それを含めての貢献かな、と。気にしない気にしない。 さて、日本語版の方でOAuthに関する以下の質問が来ていました。 OAuthはどのようにしてソーシャルログインとして使用されるようになったのでしょうか？ 下記の記事をみるとOAuthはもともと外部からAPIを呼ぶためのものであり、ソーシャルログインとして使うのはHack的な使い方のような印象をうけました。 本来の目的が、ソーシャルログインのためでないならどのような経緯(どこどこのサービスで使われたのがきっかけというような歴史）でソーシ
特に新しい話題ではないですが、定期的に質問されてる気がするので記事にしときます。 OAuth 2.0 の Core には、”code” と “token” という2つの response_type が定義されています。 それぞれ “Code Grant” と “Implicit Grant” と呼ばれることもありますし、歴史的経緯により “Code Flow” と “Implicit Flow” と呼ぶこともあります。 ほとんどのケースでは、この2つの response_type のどちらかを使っているかと思いますが、実はこれ以外にも以下の response_type のパターンが存在します。 (仕様はこちら) none code token id_token id_token code id_token token id_token code token id_token ってのが含まれ
GREE Advent Calendar 9日目は @nov が担当します。 僕は GREE ではセキュリティ部に所属しており、社外では OAuth や OpenID Connect などの Identity 関連技術についての翻訳や講演などを行ったりもしています。 今日は GREE Advent Calendar ということで、Native App コンテキストでの OAuth の話を少し書いてみようと思います。 はじめに Native App を開発していると、Backend Server とのやりとりや Facebook Login や Google Sign-in などで、必ずと言っていいほど OAuth 2.0 というのが出てきます。 OAuth 1.0 と異なりリクエストに署名が不要だったり、Client Secret (a.k.a Consumer Secret) 無しでも
私とJohn Bradley(Ping)とNaveen Agarwal(Google)が共著者としてクレジットされている「OAuth PKCE（ピクシー）」 が、[RFC 7636] として発行されました。元々はOAuth SPOP (Symmetric Proof of Posession)と言っていたものですが、Symmetricに限らない形に拡張したため、Proof Key for Code Exchange (PKCE、ピクシー＝妖精）と名を改めて現在に至っています。 この規格はOAuth 2.0 [RFC6749]のPublic Client の Code Interception Attack 脆弱性に対応するもので、ephemeral keyを生成して、これを使ったProof of Possession of Key をします。RFC6749と後方互換性がありますし実装も簡単
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
