OAuthとは

OAuthとは

OAuth(Open Authorization)は、あるサービスが別のサービスのリソースに「ユーザーに代わってアクセス」するための認可フレームワークだよ。「Googleでログイン」「Twitterでログイン」といったソーシャルログインの裏側で使われてる技術がまさにこれだね。

認証と認可の違い

OAuthはよく「認証(Authentication)」と混同されるけど、正確には「認可(Authorization)」のためのプロトコルだよ。

• 認証: 「あなたは誰ですか?」を確認する
• 認可: 「あなたはこのリソースにアクセスできますか?」を管理する

OAuth 2.0の流れ

1. アプリがGoogleに「このユーザーのカレンダーにアクセスしたい」とリクエスト
2. Googleがユーザーに確認を求める(「許可しますか?」の画面)
3. ユーザーが承認すると、アプリにアクセストークンが発行される
4. アプリはトークンを使ってAPIにアクセスする

パスワードとの関係

OAuthを使うと、アプリ間でパスワードをやり取りする必要がなくなるよ。「AアプリにGoogleのパスワードを教える」ではなく「Googleからアクセストークンをもらう」という流れになるんだ。これでパスワードの露出リスクが減る。

OIDCとの関係

OAuth 2.0を拡張した「OpenID Connect(OIDC)」が、実際のシングルサインオンでよく使われてるよ。OAuthが認可のみなのに対し、OIDCは認証機能も追加してるんだ。