各社のログインAPIで返ってくるIDは何であるのかと、PPIDの現状について

You signed in with another tab or window. Reload to refresh your session. You signed out in another tab or window. Reload to refresh your session. You switched accounts on another tab or window. Reload to refresh your session.

[k2wanko]

“userid のみを送信して認証とみなすのはどんな場合でも推奨されない” これなんだよなぁ

[ene0kcal]

omni7とも言ってない。

[blunote]

当たり前すぎる話なんだけど、IDのみで通す事を認証と呼んではいけない気がする。なんか前あった400万と800万のグラフを思い出すな・・・

[ustam]

大事なことなので7回ペイしました。この業界長いと色んな恐ろしいもの見てきちゃってるわけよ。某有名SNSでは、Cookieに生アイパスを保存してたっけなぁ…。

[napsucks]

つまるところ簡単にクライアントを信頼すんなという話かな。

[myrmecoleon]

“userid のみを送信して認証とみなすのはどんな場合でも推奨されない”

[khtokage]

FBはPPIDになってたのか、知らなかった。　「大事なことなので5回ぐらい書いておく」素晴らしいｗ

[gfx]

PPID初めて知った。

[W53SA]

“「userid のみを送信して認証とみなすのはどんな場合でも推奨されない」”

[hirorock]

OAuth気をつけて使え問題

[asakura-t]

「推奨されない」を「場合によってはやってもいい」と解釈する人がいる https://twitter.com/kiai_hissatsu/status/1151134134103728128 という話は説得力がある／「やってはいけない」と書かない理由はなんだろう？

[naqtn]

最後のくだりは Google のドキュメントでは最初のWarningのところ "Do not accept plain user IDs （略） instead use verifiable ID tokens （略）"

[Chisei]

PPID 概念的には実装に携わっていたが用語を初めて知った。

[katzchang]

最近仕事でopenid connectを調べてたんだけど、トークン検証の話題が本当に少ないんだよね。クライアントアプリでハローをワールドしただけのサービス、まだまだありそう。

[zetta1985]

LINE、midじゃなくてuserid使うようになったんだ。知らなかった。

[RabbitBit]

セキュリティの勉強になった。→"連携するアプリ単位や開発者単位で、異なる userid を返すような仕組みがあり、PPIDと呼ばれている。"

[stp7]

“大事なことなので5回ぐらい書いておく。 「userid のみを送信して認証とみなすのはどんな場合でも推奨されない」 「userid のみを送信して認証とみなすのはどんな場合でも推奨されない」 「userid のみを送信して認証とみ

[i178inaba]

“「userid のみを送信して認証とみなすのはどんな場合でも推奨されない」”

[solidstatesociety]

IDの成分について

[nilab]

各社のログインAPIで返ってくるIDは何であるのかと、PPIDの現状について · GitHub

[hdampty7]

一時期ゲームのつなぎ込みのお仕事をしてた人間からするとこの辺は常識なんだけどなぁ。問い合わせフォームの設計とか簡単そうで実は結構面倒くさいのよ。ああいうノウハウって一般化したら価値あるのかなぁ？

[eru01]

ぺぇ / “useridのみをバックエンドサーバーに送信してしまうような脆弱性”

[arc_at_dmz]

まさかそんな実装がありうるなんて

[ryunosinfx]

これは良い知見。IDはデベロッパー毎に別のものを渡すのがいいと思うよ！

[cubed-l]

「userid のみを送信して認証とみなすのはどんな場合でも推奨されない」

[estragon]

「userid のみを送信して認証とみなすのはどんな場合でも推奨されない」

[takezaki]

“userid のみを送信して認証とみなすのはどんな場合でも推奨されない”

[laiso]

"tokenではなく、本当に単純にクライアント側SDKで取得されたuseridのみをバックエンドサーバーに送信してしまうような脆弱性を、ごく稀に耳にする。" FirebaerAuth利用記事で偶然見かけたので気をつけてる

[gachapining]

userid をそのまま利用するのは危険なのでBASE64エンコードするぞ！

[takumikabu]

「userid のみを送信して認証とみなすのはどんな場合でも推奨されない」 大学生の講義の代返と全く変わらない

[yodelx]

なんとかペイの認証の話？

[tattyu]

以前メアドを勝手にAmazonとInstagram（それぞれ別人）に登録された事があって認証メールで承認した記憶もなかったので、対応してる間すげー不愉快だった。あれはどういう仕組でそうなってるわけ？。

[wapa]

各社の違いが見れて面白い。

[akemi22ki]

結局これがないとID盗まれるのでは

[rti7743]

別のアプリケーションで認証したトークンを、違うアプリで呼び出して乗っ取るわけか。

[masaru_b_cl]

“「userid のみを送信して認証とみなすのはどんな場合でも推奨されない」”