認証用トークン保存先の第4選択肢としての「Auth0」

iCARE Developer Meetupは、月次で開催している株式会社iCAREが主催するエンジニア向けのLT勉強会です。18回目の今回は、Ruby on Railsをテーマに行いました。サーバーサイドエンジニアの越川氏からはToken認証機能について。 Rails APIモードで開発するときの認証用のトークンはどこに保存すればいいの問題 越川佳祐氏：私からは、「Rails APIモードにおけるToken認証機能について」というテーマでLT（ライトニングトーク）をしようと思っていたんですが、スライドを作っていて「あれ、これ別にRailsだけの話じゃなくない？」と思ってしまいました。みなさんの中にも、そう思う方がいるかもしれないんですが、もうこれで作っちゃったのでご了承ください。 私は株式会社iCAREで、サーバーサイドエンジニアをしている、越川と申します。Twitterは@kossy0

[ockeghem]

そんなことは言っていません>『徳丸浩さんが…ということを言及していました』

[azzr]

XSSがあることが前提で、メインフレーム内のJSを信頼できないものとみなすなら、そのサイトで認証が必要な情報は一切扱えなくない？トークンだけ守っても仕方ないでしょ。

[hasegawayosuke]

徳丸さんが言ってるのは「httponlyつけててもXSSによって被害は発生する」であって「httponlyつけててもCookie読める」ではないです。

[aroechan]

XSSで盗まれるからローカルはやめようって言うのはAuth0のポジショントークみある

[saikyo_tongaricorn]

徳丸先生のブコメで草

[muuran16]

SPAはファーストパーティなんだから普通にセッションCookieにすればいいんじゃないの？もちろんhttponlyやsecure属性は付ける。/適当にブコメしちゃったけど、XSS混入が前提とか会社の信用に関わるから記事下げたほうが。。

[hylom]

LocalStorageやCookieやインメモリはXSSされると危ない！Auth0は仕組みはよく分からないけど提供者が安全だと言ってるから安全！という謎の主張だった

[strawberryhunter]

業者の煽り記事を真に受けてしまったか。

[baronhorse]

xssがあったらいずれにせよアウトでは

[mizchi]

ポジショントークが過ぎる

[northlight]

この問題本当に頭が痛いよなあ…

[J138]

XSSされてる時点で終わりじゃんｗ

[rryu]

Auth0はAuth0側がセッションを持っていてクッキーでセッションIDを保持するので安全性はクッキー方式と変わらないのだった。

[Cherenkov]

token

[kuracom]

“※[編注]登壇者の要望を受け、一部加筆修正を行いました。”

[quabbin]

なんじゃこりゃ…って思ったけど、ブコメで吹いたから満足ｗ

[gayou]

いろんな意味で面白かった。

[onesplat]

XSSされたら終わりじゃん、と思ったら散々ブコメで言われていた

[delphinus35]

すごい。ブコメでボコボコにされてる。

[y-kawaz]

何でこう…、XSSされたら簡単に読めるから駄目とか、アホな前提を持ち出す記事が絶えないのかね。

[cuttoff19]

ブコメ

[eerga]

タイトルが気になって全部読んだ後に注釈とブコメ読んで理解した。最初にブコメ読んだら時間を無駄にせずに済んだのに…

[uraway]

そもそもXSSされた時点で詰むもんなぁ

[NOV1975]

（基本的なXSS対策がちゃんとなされている前提で）サードパーティー使わないとかちゃんと管理できれば別になんだって問題ないはずだが

[spark7]

意味のわからんこだわり。

[Shinwiki]

Securestorageあかんの

[taguch1]

XSSの時点でトークンだけ守ってもなってのと、iframeでやるのは用途外のAPI利用っぽくてそのうち事故りそうだなっつー事で普通に使ってる。つかiframe保存のadapterと認証のI/F実装すればいいだけなのになんでauth0ごと使うの？

[napsucks]

なんじゃこりゃ

[hisasann]

トークン

[orenonihongogayabai]

ブコメでこんな記事につけるタグはセキュリティではなくこれはひどいタグかなって

[b-wind]

認証tokenの話題一つでここまで書けるんだから、私はもうWebの世界は諦めた方が良さそうに思う。

[ryousanngata]

CDNの件はSRIで検証すれば防げるし、XSSはCSPで軽減できるので、頑張っていきましょう。

[peketamin]

こうやって色んな人の訂正が受けられる様子が見れるいい時代。ありがたや。

[shoh8]

トークンの置き場所

[deep_one]

耐タンパ領域の要求？／（ざっと読んだ）説明になっていない。出直してこい。