OAuth 2.0 とライブラリ

OAuth 2.0とライブラリ
ライブラリはなにをやっているのか、
どうやって使うのか

OAuth とは
● 保護されたサーバー・リソースへのアクセス権を、クライアントアプリケーションが取
得できるように認可するためのオープン・スタンダードです。
● ユーザはクライアントに自分のユーザ名・パスワードを共有する必要がありませ
ん。
● RFC6749

OAuth で情報を取得するまで (簡易版)
Client App
Resource Svr
Auth Svr
Start
(1) Authorization Client
Redirect and authenticate
Respond Code
(2) Request Token
Respond Token
(3) Request Resource
redirect_uri
client_id
scope
response_type
grant_type
client_id
scope
code
code
state
access_token
token_type
expires_in
refresh_token
example_parameter

Client App
Resource Svr
Auth Svr
Start
Respond Code
(2) Request Token
Respond Token
設定には
3つのURLが必要

Client App
Resource Svr
Auth Svr
Start
Respond Code
(2) Request Token
Respond Token
クライアントライブラリはここで使う

PHPのライブラリ: thephpleague/oauth2-client
https://github.com/thephpleague/oauth2-client
$provider = new LeagueOAuth2ClientProviderGenericProvider([
'clientId' => 'demoapp', // The client ID assigned to you by the provider
'clientSecret' => 'demopass', // The client password assigned to you by the provider
'redirectUri' => 'http://example.com/your-redirect-url/',
'urlAuthorize' => 'http://brentertainment.com/oauth2/lockdin/authorize',
'urlAccessToken' => 'http://brentertainment.com/oauth2/lockdin/token',
'urlResourceOwnerDetails' => 'http://brentertainment.com/oauth2/lockdin/resource'
]);
// If we don't have an authorization code then get one
if (!isset($_GET['code'])) {
// Fetch the authorization URL from the provider; this returns the
// urlAuthorize option and generates and applies any necessary parameters
// (e.g. state).
$authorizationUrl = $provider->getAuthorizationUrl();
// Get the state generated for you and store it to the session.
$_SESSION['oauth2state'] = $provider->getState();
// Redirect the user to the authorization URL.
header('Location: ' . $authorizationUrl);
exit;
// Check given state against previously stored one to mitigate CSRF attack
} elseif (empty($_GET['state']) || (isset($_SESSION['oauth2state']) && $_GET['state'] !== $_SESSION['oauth2state'])) {
if (isset($_SESSION['oauth2state'])) {
unset($_SESSION['oauth2state']);
}
exit('Invalid state');
} else {
try {
// Try to get an access token using the authorization code grant.
$accessToken = $provider->getAccessToken('authorization_code', [
'code' => $_GET['code']
]);
// We have an access token, which we may use in authenticated
// requests against the service provider's API.
echo 'Access Token: ' . $accessToken->getToken() . " ";
echo 'Refresh Token: ' . $accessToken->getRefreshToken() . " ";
echo 'Expired in: ' . $accessToken->getExpires() . " ";
echo 'Already expired? ' . ($accessToken->hasExpired() ? 'expired' : 'not expired') . " ";
サンプルコードを上から見ていきましょう。

$provider = new LeagueOAuth2ClientProviderGenericProvider([
'clientId' => 'demoapp', // The client ID assigned to you by the provider
'clientSecret' => 'demopass', // The client password assigned to you by the provider
'redirectUri' => 'http://example.com/your-redirect-url/',
'urlAuthorize' => 'http://brentertainment.com/oauth2/lockdin/authorize',
'urlAccessToken' => 'http://brentertainment.com/oauth2/lockdin/token',
'urlResourceOwnerDetails' => 'http://brentertainment.com/oauth2/lockdin/resource'
]);
リソース・認可サーバ設定は 3つのURL

// If we don't have an authorization code then get one
if (!isset($_GET['code'])) {
// Fetch the authorization URL from the provider; this returns the
// urlAuthorize option and generates and applies any necessary parameters
// (e.g. state).
$authorizationUrl = $provider->getAuthorizationUrl();
// Get the state generated for you and store it to the session.
$_SESSION['oauth2state'] = $provider->getState();
// Redirect the user to the authorization URL.
header('Location: ' . $authorizationUrl);
exit;
パラメータで分岐しながら処理をする。
(1) 最初のステップ
認証URL
認証URLへリダイレクト
リダイレクト先は Twitter などの認証画面

// Check given state against previously stored one to mitigate CSRF attack
} elseif (empty($_GET['state']) || (isset($_SESSION['oauth2state']) && $_GET['state'] !==
$_SESSION['oauth2state'])) {
if (isset($_SESSION['oauth2state'])) {
unset($_SESSION['oauth2state']);
}
exit('Invalid state');
認可から帰ってきたときの処理。
まずはイレギュラーパターンの処理。

} else {
try {
// Try to get an access token using the authorization code grant.
$accessToken = $provider->getAccessToken('authorization_code', [
'code' => $_GET['code']
]);
// We have an access token, which we may use in authenticated
// requests against the service provider's API.
echo 'Access Token: ' . $accessToken->getToken() . " ";
echo 'Refresh Token: ' . $accessToken->getRefreshToken() . " ";
echo 'Expired in: ' . $accessToken->getExpires() . " ";
echo 'Already expired? ' . ($accessToken->hasExpired() ? 'expired' : 'not expired') . " ";
// Using the access token, we may look up details about the
// resource owner.
$resourceOwner = $provider->getResourceOwner($accessToken);
var_export($resourceOwner->toArray());
// The provider provides a way to get an authenticated API request for
// the service, using the access token; it returns an object conforming
// to PsrHttpMessageRequestInterface.
$request = $provider->getAuthenticatedRequest(
'GET',
'http://brentertainment.com/oauth2/lockdin/resource',
$accessToken
);
} catch (LeagueOAuth2ClientProviderExceptionIdentityProviderException$e) {
// Failed to get the access token or user details.
exit($e->getMessage());
}
}
(2) アクセストークンの取得
(3) リソース情報の取得

基本がこれだけなので、既存のPHPのウェブサイトでもうまく組み合わせればユーザ
データを使ったアプリケーション開発が可能。

Ruby のライブラリ: omniauth/omniauth
https://github.com/omniauth/omniauth
Rails で Twitter/Google/Facebook 認証を行う場合には、よく omniauth-twitter,
omniauth-facebook, omniauth-google が使われる。
omniauth-twitter, omniauth-facebook, omniauth-google の違いは3つのURL。
GitHub では omniauth を使った非常にたくさんのサーバについてのライブラリが公開さ
れている。
設定が異なるのは3つのURLになるので
各サーバのライブラリは非常にシンプル。
基本は omniauth 本体が行うので
3つのURLを設定するのみ。

omniauth-google-oauth2 の本体は google_oauth2.rb で227行。

データを整形するコードがあったりする omniauth-facebook の本体は facebook.rb で
わずか180行。

サーバのためのライブラリ: Doorkeeper
https://github.com/doorkeeper-gem/doorkeeper
Rails と組み合わせて使うもので、 Devise とうまく連携できるようになっている。

● 管理者用
○ 管理者アカウントを使って、クライアントアプリケーションを登録・編集可能。
○ 管理者は複数登録できる。 Devise が使える。
● ユーザ用
○ ユーザが使うための機能はひととおり揃っている。
● 開発者がやること
○ (1) ユーザ認証画面の作成
■ Devise を使えばよい。
○ (3) リソースデータを返すためのエンドポイント作成

リソースデータを返すエンドポイント
ライブラリがほとんど処理してくれる。エンドポイントのコードは下のように作る。
module Api
class V1::ApiController < ::ApplicationController
def current_resource_owner
Member.find(doorkeeper_token.resource_owner_id) if doorkeeper_token
end
end
end
module Api
class V1::CredentialsController < V1::ApiController
before_action :doorkeeper_authorize!
def me
render json: { member: current_resource_owner }
end
end
end

参考
● OAuth 2.0 の仕組みと認証方法 https://murashun.jp/blog/20150920-01.html
● Java プログラミングで実装する OAuth 2.0 クライアント
https://www.ibm.com/developerworks/jp/security/library/se-oauthjavapt3/index.html
● Rails + devise + omniauth + doorkeeperでoauth認証を行う
https://qiita.com/moehiko/items/300dcfa4d8f70660bcd1

OAuth 2.0 とライブラリ

Recommended

Recommended

More Related Content

Similar to OAuth 2.0 とライブラリ

Similar to OAuth 2.0 とライブラリ (20)

Recently uploaded

Recently uploaded (9)