Google Data API - 2つのレッグド認証トークンの再利用

Question

私はGoogle Contact Data APIに2つのlegged OAuthを使用しており、リクエストごとにトークンを生成しています。

次回はトークンを保存しておくとよいでしょうか？

また、失効したトークンを検出するにはどうすればよいですか？

私はPythonを使用しています。 （およびGdata Pythonクライアントライブラリ）。

編集：OK、私は、トークンがencrpytionでクライアント側で生成され、サーバー側から収集されないので、各要求でトークンを生成することができます。私は正しいですか？つまり、共有秘密を変更しない限り、ユーザーのトークンは決して変更されません。

Answer 1

私は、2足歩行のシナリオはトークンの作成には関係しないと思います。トークンは、ユーザーがトークンを承認する必要があるため、ユーザーが対話に参加しているときに必要です（第3レッグ）。

ユーザーは2足歩行に直接参加していないため、トークンの承認がないため、トークンを保存および作成する必要はありません。

基本的に2足歩行というのは、コンシューマーの共有秘密（プロバイダーも知っている）を使用して、消費者がプロバイダーに求める要求をSIGNする必要があるため、プロバイダーは、これは実際にデータを必要とするアプリケーションであることを検証する方法です。しかし、ユーザー（第3脚）は参加していないので、プロバイダーはトークンを作成しません。なぜなら、プロバイダーは2つのleggedをサポートしていて、アプリケーションがそのデータを使用することができます。

ここでは、2足歩行と3足歩行のプロセスの詳細を説明できる良い記事です。

http://hueniverse.com/2008/10/beginners-guide-to-oauth-part-iii-security-architecture/

ただ、結論として何かを追加します

2本足のOAuthはちょうど認証方法である - 消費者は自分の秘密鍵で要求に署名を経て自身を認証（これは実際に作っている消費者を確認しますリクエスト）。

3-legged oauthは認証と認可です。コンシューマは、秘密鍵で要求に署名することで認証し、ユーザーが認可する必要がある不正な要求トークンを取得します。