4 comments

• 

  kazu

  9 months ago

  OpenSocial準拠のサイトが広がりを見せてくると、mixiみたいなクローズなサイトは、間接的にアドレス帳を持ち出されるリスクがあるけど、そこは回避する方法はあるの？
  reply
• 

  Eiji

  9 months ago

  そのためにOAuthという仕様が存在します。Social Webのコンセプトは「自分のデータを自分の意思でコントロールできること」にあり、OAuthはプライバシ管理のために使用されます。
  そのため、mixiでPortable Contactsの仕様がオープンなAPIで公開されたとしても、他サービスがごっそりそれをインポートする事はできません。OAuthにより、ユーザーごとに個別に認証を行う必要があります。
  そういう意味で危険なリスクと呼べるものはないかも。
  ただ、誰かが友達リストをインポートする事で、自分のプロフィール写真が他の人の目にさらされた！というクレームはありえると思います。重箱の隅つつきとしか思えませんが。
  reply
• 

  kazu

  9 months ago

  なるほど、理解しました。
  
  REST ful APIをサポートするということと、OAuth認証は対で考えるべきことですか？
  モバイルの場合、JavaScriptが利用できないので、REST ful APIをサポートすることが必然なのでしょうか。
  shindigのいくつのバージョンから本格対応するのかは知りませんが、
  gumiはモバイル対応するべく、REST ful API ＋OAuth認証に対応しているような言い方です。
  reply
• 

  Eiji

  9 months ago

  OpenSocialに限って言えば、OAuth認証は対で考えるべきです。
  ただ、公開はされていませんがmixi station等で使われているmixiのAtomPub APIではWSSI認証が使用されています。他にもBasic認証やDigest認証等、方式はいくつか考えられると思いますが、第三者を介してAPIからデータを取得するという意味では、いずれにしても今はOAuthが最も有力なプロトコルになります。
  ちなみに、JavaScriptでも裏のリクエスト処理はREST/RPCを使って行われています。例えばShindigのガジェット上ではセキュリティトークンというセッションキーのようなものが利用されています。そういう意味では、モバイルであろうとなかろうと、認証は必要です。
  ただ、OAuth(厳密にはOAuth Core)はユーザーのログイン処理というインタラクションが挟まりますので、少し話は複雑です。OAuth Consumer Request(gumiが利用)ですと、ユーザーの認証処理等が挟まりませんので、割と話は単純です。
  reply