DISQUS

kazu · 1 year ago

OpenSocial準拠のサイトが広がりを見せてくると、mixiみたいなクローズなサイトは、間接的にアドレス帳を持ち出されるリスクがあるけど、そこは回避する方法はあるの？

Eiji · 1 year ago

そのためにOAuthという仕様が存在します。Social Webのコンセプトは「自分のデータを自分の意思でコントロールできること」にあり、OAuthはプライバシ管理のために使用されます。
そのため、mixiでPortable Contactsの仕様がオープンなAPIで公開されたとしても、他サービスがごっそりそれをインポートする事はできません。OAuthにより、ユーザーごとに個別に認証を行う必要があります。
そういう意味で危険なリスクと呼べるものはないかも。
ただ、誰かが友達リストをインポートする事で、自分のプロフィール写真が他の人の目にさらされた！というクレームはありえると思います。重箱の隅つつきとしか思えませんが。

kazu · 1 year ago

なるほど、理解しました。

REST ful APIをサポートするということと、OAuth認証は対で考えるべきことですか？
モバイルの場合、JavaScriptが利用できないので、REST ful APIをサポートすることが必然なのでしょうか。
shindigのいくつのバージョンから本格対応するのかは知りませんが、
gumiはモバイル対応するべく、REST ful API ＋OAuth認証に対応しているような言い方です。

Eiji · 1 year ago

OpenSocialに限って言えば、OAuth認証は対で考えるべきです。
ただ、公開はされていませんがmixi station等で使われているmixiのAtomPub APIではWSSI認証が使用されています。他にもBasic認証やDigest認証等、方式はいくつか考えられると思いますが、第三者を介してAPIからデータを取得するという意味では、いずれにしても今はOAuthが最も有力なプロトコルになります。
ちなみに、JavaScriptでも裏のリクエスト処理はREST/RPCを使って行われています。例えばShindigのガジェット上ではセキュリティトークンというセッションキーのようなものが利用されています。そういう意味では、モバイルであろうとなかろうと、認証は必要です。
ただ、OAuth(厳密にはOAuth Core)はユーザーのログイン処理というインタラクションが挟まりますので、少し話は複雑です。OAuth Consumer Request(gumiが利用)ですと、ユーザーの認証処理等が挟まりませんので、割と話は単純です。