OAuthでWeb APIを保護するために必要な手順は何ですか？

これは、HTTPベースのAPIを既知のクライアントに限定するための最良の選択ですか？OAuthでWeb APIを保護するために必要な手順は何ですか？

私は主に、信頼できる特定のアプリケーション（ネイティブモバイルアプリなど）のみがAPIにアクセスできることに気づいています。

2012-03-17 Brandon Linton

私はこの質問には、いくつかの精緻化から利益を得ることができると思います。「クライアント」は何を意味していますか？ソフトウェアクライアント？利用者？それがソフトウェアならインスタンスをインストールするか、全体的な「信頼できるソフトウェアパッケージ」だけをインストールすることを意味しますか？ –

@Scott - 良い提案。私はモバイルアプリを具体的に見ていますが、「信頼できるソフトウェアパッケージ」はそれをうまく（またはおそらく同義語として、登録されたソフトウェア開発者のソフトウェアを）要約していると思います。 –

これは、OAuth 2.0が解決するように設計されたものではありません。特にモバイルアプリは、秘密を保持できないため、「既知のクライアント」として識別することは困難です。アプリケーションコードはダウンロードされ、同じプロトコルを使用する独自のクライアントを作成したい動機づけられたハッカーによって逆コンパイルされる可能性があります。

質問は、この1とやや重複である：OAuth2 security considerations for client_id

出典

2012-03-20 02:00:48

こんにちは@スコット、情報ありがとう。私はそれが絶対的な計画ではないことに同意します。私はそれが重複しているとは思わない、私は正当にOAuthで保護したいアプリケーションを持っていた場合に取るべきステップを探しているので。 –

OAuthでWeb APIを保護するために必要な手順は何ですか？

答えて

関連する問題