oauthでのトークンの要求とアクセス

Question

ユーザー承認後にトークンをアクセスするためにトークンを交換する必要がある理由を説明できますか？ユーザーがアクセスを承認した後、リクエストトークンがアクセストークンであると思わないのはなぜですか？

Answer 1

短い回答：アプリケーションを認証する。

はOAuthの3-脚プロトコルでYouTube's OAuth Process Flow Diagram

を参照してください。この特定のケースでは、YouTubeは2つの異なるエンティティを認証する必要があります。a）ユーザーとb）accssが必要なアプリケーション。

ユーザーがアクセスを許可すると（図のステップ10）、YouTubeは「ユーザーxがYouTubeにアプリケーションYアクセスを許可したいと思っています」と認識しています。しかし、アプリケーションYはまだ検証されていません。不正なアプリケーションは、有効な既知のアプリケーションであると思われるステップ10までのすべてのステップを実行できます。そのようなアクションは防止する必要があります。

最後の3つのステップで、アプリケーションはリクエストに署名してYouTubeに自身を確認します。これが完了すると、YouTubeは安全にアプリケーションにアクセストークンを提供できます。

Answer 2

oauthシステムは要求トークンをチェックし、要求されたアクセスがそのユーザーに対して許可されているかどうかをチェックします。その後、アクセストークンを発行し（一定期間有効）、デジタル署名します。

署名は、システムが要求者が要求したアクセスが許可されていることにシステムが同意したことを示しているので重要です。

http://hueniverse.com/oauth/を見てみると、全体の仕組みがわかりやすく分かります。